Phenquestions
Microsoft a publié aujourd'hui un nouveau bulletin de sécurité hors bande qui informe d'une nouvelle vulnérabilité de sécurité critique détectée dans le navigateur Web Internet Explorer de l'entreprise.
La vulnérabilité, déjà exploitée à l'état sauvage selon l'entreprise, affecte Internet Explorer 7 à 11 sur les systèmes d'exploitation client et serveur. Microsoft Edge, le navigateur Web par défaut de Windows 10, n'est pas répertorié sur la page et n'est donc pas affecté par la vulnérabilité.
La vulnérabilité est considérée comme critique pour tous les systèmes d'exploitation client et modérée pour tous les systèmes d'exploitation serveur de l'entreprise.
Microsoft a publié des correctifs pour toutes les versions concernées (et prises en charge) de Windows. Ces correctifs sont déjà disponibles via Windows Update et via le centre de téléchargement de Microsoft.
La mise à jour est répertoriée comme "mise à jour cumulative pour Windows 10 (KB3081444)" pour les systèmes Windows 10, et répertoriée avec le code KB3087985 sur les versions précédentes de Windows. La mise à jour KB3078071 est un prérequis pour cette mise à jour sur Windows 8.1 et 7, et Windows Server 2008 R2 et 2012 R2.
Les attaquants peuvent exploiter la vulnérabilité par divers moyens, par exemple en créant des pages Web qui exploitent la vulnérabilité, des e-mails HTML ou des publicités Web. Tout ce qui est nécessaire pour déclencher la vulnérabilité est que ces contenus soient chargés dans une version affectée d'Internet Explorer, une interaction avec le site n'est pas requise en dehors de cela.
Les attaquants obtiennent les mêmes droits que l'utilisateur actuel sur le système. Si l'utilisateur connecté dispose de droits d'administration, une prise de contrôle complète du système est possible car elle permettrait à l'attaquant de modifier les paramètres du système, de créer ou de modifier des comptes d'utilisateurs, d'installer ou de supprimer des logiciels, etc.
Microsoft mentionne deux facteurs atténuants dans l'avis de sécurité. Un niveau d'utilisateur non administratif de l'utilisateur connecté peut avoir un impact sur le système. En outre, Microsoft EMET, la boîte à outils Enhanced Mitigation Experience de la société, permet d'atténuer l'attaque selon Microsoft à condition qu'elle soit correctement configurée pour fonctionner avec le navigateur Web Internet Explorer.
Les liens de téléchargement pour tous les systèmes d'exploitation pris en charge sont répertoriés sur la page du bulletin de sécurité sur le site Web de Microsoft. Pour télécharger la mise à jour manuellement, localisez la version installée d'Internet Explorer sous le logiciel concerné et cliquez sur le lien à côté du système d'exploitation sur lequel l'ordinateur fonctionne.
Il s'agit du deuxième correctif d'urgence publié au cours des deux dernières semaines. Microsoft a publié le bulletin MS15-078 fin juillet pour tous les systèmes d'exploitation pris en charge qui corrige une vulnérabilité critique dans Microsoft Font Driver.
