Patch Tuesday Juin 2015 : 20 vulnérabilités critiques corrigées dans IE

Internet a toujours été scruté à la fois par les chercheurs en sécurité et les pirates. Et une fois n'est pas coutume, la salve de patchs dégainée par Microsoft à l'occasion de son dernier Patch Tuesday ne déroge pas à la règle en mettant le navigateur de Redmond au premier plan. Ainsi, ce mois-ci, 8 bulletins ont été émis contenant 45 correctifs dont 24 sont uniquement consacrés à IE. Parmi eux, 20 sont même classés critiques par l'éditeur. Outre le bulletin IE (MS15-056), les autres couvrent le système d'exploitation Windows, la suite Office, Windows Media Player, Active Directory et le serveur Exchange.

« En moyenne, Microsoft émet près de 20 patchs par mois pour IE », relativise Wolfgang Kandel, directeur technique de l'éditeur de sécurité Qualys. IE n'est probablement pas significativement plus bogué qu'un autre logiciel complexe mais il est le plus scruté par les chercheurs en sécurité et les pirates étant donné qu'il connecte les utilisateurs au monde du web. « Il sera intéressant de suivre combien de vulnérabilités le successeur d'IE, Edge, va en générer par mois une fois qu'il l'aura remplacé dans Windows 10 », a par ailleurs lancé Wolfgang Kandel.

Le bulletin MS15-058 aux abonnés absents

Parmi les autres failles critiques, certaines concernent Windows Media Player (bulletin MS15-060) et permettraient à un attaquant d'accéder à un système utilisateur par le biais d'un lien piégé. Les administrateurs devraient également apporter une attention toute particulière au bulletin MS15-059 qui touche Office et comble des vulnérabilités dans les versions 2007, 2010 et 2013 de la suite bureautique. Des vulnérabilités qui permettent aussi de prendre le contrôle d'une machine par le biais d'un document Office contenant du code malveillant.

Ce Patch Tuesday s'avère par ailleurs curieux : les numéros des bulletins publiés par Microsoft se suivent toujours. Or pour cette cuvée de juin 2015, on constate la disparition du MS15-058 alors même que MS15-057 et MS15-059 sont bel et bien là. « Ce bulletin a pu être retiré en raison d'un échec de test en dernière minute », pense Wolfgang Kandel. Un mal pour un bien quand on sait que certains des précédents patchs de Microsoft ont causé des problèmes à des clients.