Le Patch-Day de ce mois-ci ne nous offre cette fois que deux bulletins de sécurité, dont un seul qualifié de critique et un d'important. Celui-ci, répondant au doux nom de MS08-068, concerne une vulnérabilité dans SMB vieille de ... 7 ans !
La vulnérabilité (Réf. Lexsi 10906) a en effet déjà été présentée en 2001, sous le nom de "SMB Relay". Celle-ci consiste à récupérer les identifiants envoyés par une station Windows pour se connecter à un partage SMB, et à les rejouer contre celle-ci afin d'exécuter du code arbitraire. Microsoft avait alors décidé de ne rien faire concernant la vulnérabilité, celle-ci étant basée sur une fonctionnalité de base de NTLM, afin d'éviter de nombreux problèmes d'interopérabilité.

Cependant, les développeurs ne l'ont pas oubliée, et ont fini par trouver un moyen de correction minimisant l'impact sur les applications réseaux.
Notons toutefois que cette vulnérabilité n'a été qualifiée que d'importante, étant donné que les stations ne faisant pas partie d'un domaine tentent par défaut d'utiliser le compte Invité pour se connecter à un partage SMB. De plus, la recrudescence des pare-feux personnels depuis la grande époque des vers tels que Blaster minimise encore l'impact de cette faille.

Le second bulletin, MS08-069, corrige quant à lui 3 vulnérabilités (Réf. Lexsi 10907 et 7994) dans XML Core Services. Celles-ci sont exploitables en visitant un site malveillant : deux d'entre elles permettent d'obtenir des informations provenant d'un autre domaine, et la dernière -connue depuis janvier 2007- permet quant à elle l'exécution de code arbitraire, même si la rédaction d'un code d'exploitation stable n'est pas triviale.

Profitons-en pour rappeler que Microsoft a sorti fin Octobre un bulletin de sécurité hors Patch-Day pour corriger une vulnérabilité de type 0-Day extrêmement critique dans le service Server (Réf. Lexsi 10828). Celle-ci est exploitable à distance pour exécuter du code arbitraire avec les droits SYSTEM, et un code d'exploitation stable couvrant la majorité des systèmes Windows est disponible dans le framework Metasploit.