Microsoft comble 22 vulnérabilités dans Windows et Office dont une faille critique dans Windows 7 et Vista liée à la technologie Bluetooth
La firme de Redmond a livré son Patch Tuesday de juillet 2011 qui comporte quatre bulletins de sécurité à destination de Windows et Office. Au programme, la correction de 22 vulnérabilités dont une dans le cadre du seul bulletin marqué critique qui avait titillé notre curiosité lors de la préannonce dans la mesure où il concerne Windows 7 et Vista (client) et pas les autres Windows.
Le mystère est levé. Rapportée confidentiellement, la faille à corriger se situe dans la pile Bluetooth et donc dans l'implémentation de cette technologie au sein du système d'exploitation. D'après le bulletin MS11-053, cette vulnérabilité peut permettre l'exécution de code à distance si un attaquant envoie des paquets Bluetooth spécialement conçus. S'ouvre alors pour cet attaquant tout un panel d'actions malveillantes : " installer un programme, afficher ou modifier des données, créer de nouveaux comptes avec tous les privilèges ".
De quoi faire peur mais Microsoft modère la dangerosité effective de la faille en lui attribuant un indice d'exploitabilité de 2. Autrement dit, l'exploit à concevoir pour une exécution de code paraît bien complexe. C'est le déni de service qui le cas échéant semble le plus probable. Parmi les autres facteurs atténuants, le fait que par défaut un périphérique Bluetooth sur un ordinateur n'est pas détectable et qu'une exploitation ne peut pas se faire via Internet. Exploitation à distance certes, mais l'attaquant doit se trouver à proximité de sa cible.
Reste que le bulletin MS11-053 est à déployer en priorité. Il peut aussi être une bonne idée de désactiver le Bluetooth pour des ordinateurs où il n'est pas utile. Deux autres bulletins importants et pour tous les Windows supportés permettent de combler 15 failles dans les pilotes en mode noyau, 5 failles dans le processus CSRSS (Client-Server Run-time Subsystem). Des failles d'élévation de privilèges signalées confidentiellement, ce qui n'est pas le cas pour la faille publique à corriger dans Microsoft Visio 2003 SP3 (au niveau du chargement de DLL). (Source: GNT)