Correctifs de sécurité "importants" chez Microsoft
Microsoft vient de corriger neuf failles dans Exchange, SQL Server et Windows. L'éditeur a sorti quatre jeux de correctifs mardi 8 juillet, tous indiqués comme « importants ». « De quoi tenir les administrateurs réseaux occupés ce week end, bien que ces correctifs ne soient pas indiqués comme critiques, puisqu'il s'agit d'intervenir sur les bases de données et la messagerie, souligne Andrew Storms, directeur de la sécurité des opérations, chez le vendeur de sécurité nCircle. Le bug le plus gênant concerne le protocole des serveurs DNS. Par l'envoi de certaines requêtes vers les serveurs DNS, il serait possible de rerouter les internautes vers des serveurs illégitimes, lors d'attaques intitulées « DNS cache poisoning » (empoisonnement du cache DNS). « C'est similaire à une attaque par phishing mais sans l'envoi d'email, explique Wolfgang Kandek, directeur technique chez Qualys. D'autres fournisseurs de DNS, dont Cisco et Sun, corrigent également cette vulnérabilité. Quant à l'un des bugs corrigés par Microsoft, connu depuis quelque temps, ce qui rend sa correction prioritaire, il se trouve dans Explorer, sous Vista et Windows Server 2008, et peut donner un moyen de faire exécuter un logiciel de son choix sous Windows. Ceci dit, pour que cela fonctionne, il faut que le hacker arrive à convaincre l'utilisateur d'ouvrir et de sauvegarder un fichier spécial via le navigateur. Quant au bug concernant Exchange, il s'applique aux utilisateurs de l'accès en mode Web de la messagerie de Microsoft et permet une attaque, en théorie, par « cross-scripting ». Enfin, les correctifs pour SQL Server s'appliquent à quatre failles pour toutes les versions de SQL Server.
