Pas de bulletin de sécurité concernant Office ce mois-ci, on revient aux sources avec des vulnérabilités concernant Windows, Internet Explorer et DirectX. Trois bulletins critiques, trois importants, et un plus léger constituent les nouveautés du mois.

Pour bien débuter, un bon bulletin critique comme on les aime, concernant la pile Bluetooth de Windows.

MS08-030 : une vulnérabilité dans la pile Bluetooth, comme dit précédemment, permettant à un attaquant de prendre le contrôle d'une machine vulnérable à distance, rien que ça (Réf. Lexsi 10246). Même plus besoin d'être connecté à internet pour être vulnérable. Une aubaine pour les vendeurs de pistolets Bluetooth ? Microsoft indique que cette vulnérabilité est difficile à exploiter.

Voici les autres bulletins critiques :

MS08-031 : deux vulnérabilités affectant Internet Explorer, permettant l'une d'exécuter du code arbitraire et l'autre la divulgation d'information sensible. Une interaction de l'utilisateur est cependant nécessaire pour l'exploitation de ces vulnérabilités (Réf. Lexsi 10247 et Réf. Lexsi 9876)

MS08-033 : en incitant sa victime à ouvrir un fichier média malicieux, un attaquant peut exploiter l'une des deux vulnérabilités concernées par ce bulletin afin d'exécuter du code arbitraire (Réf. Lexsi 10248)

Maintenant, regardons un peu les bulletins qualifiés d'importants :

MS08-034 : une vulnérabilité permettant une élévation de privilèges, située dans WINS (Réf. Lexsi 10249)

MS08-035 : une vulnérabilité dans Active Directory, pouvant mener à une attaque de déni de service (Réf. Lexsi 10250)

MS08-036 : deux vulnérabilités dans le protocole Pragmatic General Multicast (PGM), permettant à un attaquant distant de faire planter une machine par simple envoi de paquets malformés (Réf. Lexsi 10251)

Et enfin, le dernier bulletin, qualifié par Microsoft de modéré, et qui concerne l'API de reconnaissance vocale :

MS08-032 : vulnérabilité dans l'API Microsoft Speech, permettant à un attaquant distant d'exécuter du code arbitraire en incitant sa victime à visiter un site web malicieux. Il faut noter que l'exploitation n'est possible que dans le cas où la victime a activé la reconnaissance vocale, et c'est probablement la raison pour laquelle ce bulletin n'est considéré que comme "modéré" (Réf. Lexsi 10254)

Comme à l'accoutumée, n'attendez pas trop avant de patcher vos systèmes et évitez les sites suspects pour limiter les risques.