Microsoft a publié hier ses bulletins de sécurité mensuels en guise d'étrennes. Ceux-ci ne sont qu'au nombre de deux, dont un critique et un important, impactant toutes les versions supportées de Windows, de 2000 à Vista.

Là où les choses deviennent plus intéressantes pour qui aime les vulnérabilités croustillantes, c'est lorsque l'on apprend que le bulletin connu sous la référence MS08-001 corrige une vulnérabilité permettant d'exécuter du code arbitraire en mode noyau en envoyant plusieurs paquets malformés à un système vulnérable.

Les deux bulletins de ce mois-ci sont les suivants :

MS08-001 : vulnérabilités critiques dans la pile TCP/IP (Réf. Lexsi 9542), permettant :

  • l'exécution de code arbitraire en mode noyau via des paquets IGMPv3 et MLDv2 spécialement formés ;
  • un plantage du noyau via des paquets ICMP de type "Router Discovery Protocol" fragmentés spécialement formés.

MS08-002 : vulnérabilité permettant une élévation de privilèges dans le service LSASS, pouvant survenir lors du traitement d'appels de procédures locales (Réf. Lexsi 9541).

Si, comme dit précédemment, la vulnérabilité permettant l'exécution de code arbitraire en mode noyau et à distance peut paraître extrêmement critique au premier abord, Microsoft a publié sur son nouveau blog "Security Vulnerability Research & Defense" une analyse de la possibilité d'exploitation qui brise rapidement les rêves du script-kiddie s'imaginant déjà pirater la planète. En effet, les points suivants rendent l'exploitation assez difficile :

  • consommation importante de ressources CPU lorsque la machine est attaquée, ce qui pourrait conduire au rejet de certains paquets ;
  • la présence d'un "timer" aléatoire dans l'implémentation du protocole IGMP empêche les paquets de ce type de rester trop longtemps dans la pile du système.

La première condition va empêcher un attaquant d'envoyer ses paquets trop rapidement, sous peine d'en voir rejetés et de rater son attaque, tandis que la seconde l'oblige tout de même à les envoyer assez rapidement, sous peine de voir ses paquets supprimés de la pile avant la fin de l'attaque.

Malgré les publications rassurantes de Microsoft, il ne faut pas négliger l'impact de ces vulnérabilités, et penser à appliquer les correctifs au plus tôt.