ArticleCybersécurité & Conformité
Patch Tuesday octobre 2013 : colmater la faille zéro day dans IE
Microsoft va publier demain 8 mises à jour de sécurité pour corriger des failles critiques dans Windows et Internet Explorer, dont la plus récente qui touchée l'ensemble des versions du navigateur.
La firme de Redmond a annoncé qu'elle allait proposer 8 mises à jour de sécurité dans le Patch Tuesday, qui sera disponible le 8 octobre 2013. Parmi ces correctifs, on retrouve un patch classé comme critique et lié à Internet Explorer. « Cette mise à jour pour IE corrige plusieurs failles dont celles décrites dans l'avis de sécurité 2887505 », souligne Dustin Childs sur le blog du Microsoft Security Response Center. Les experts en sécurité classent cette mise à jour d'IE comme prioritaire. « IE est toujours en tête de liste », rappelle Andrew Storms, directeur des DevOps chez CloudPassage.
Le 17 septembre dernier, Microsoft a lancé une alerte sur une faille zero day touchant au départ certaines version d'IE, mais qui au final concernait toutes les versions du navigateur. Il y a deux semaines, plusieurs éditeurs de solutions de sécurité ont constaté que des attaques utilisant cette vulnérabilité visaient des entreprises japonaises et taïwanaises depuis le début de l'été. Par ailleurs, la semaine dernière, un framework avec cette faille dans IE a été intégré dans le kit Open Source de pénétration Metasploit. Andrew Storms s'attendait à la publication d'un patch anticipé sur IE avec sa présence dans Metasploit, mais « Microsoft et ses partenaires ont finalement décidé de ne pas utiliser la méthode out-of-band (sortie anticipée des patchs) ». Historiquement, la firme de Redmond publie des mises à jour en dehors du cycle normal des correctifs quand un grand nombre de ses clients est exposé.
Parmi les autres mises à jour, 3 autres correctifs sont classés comme critiques et sont destinés à Windows, y compris les versions les plus récentes, 8, 8.1 et RT 8.1. Pour Andrew Storms, « les bulletins 2 et 3 doivent être placés en haut de la pile et in fine pourraient s'avérer plus importants que la mise à jour IE ». Le bulletin 2 affecte Windows 8.1 et RT 8.1, mais pas le bulletin 3.
Les 4 derniers bulletins de sécurité corrigent des failles dans Excel, des éléments d'Office, le serveur SharePoint et Silverlight. Le correctif pour Office est classé comme « important »
