Les correctifs du mois de décembre 2013

windowsupdate

Microsoft a publié les correctifs de ses applications pour le mois de décembre 2013.
Ce mois-ci onze correctifs sont parus.

BulletinSévéritéSystèmeRedémarrageDescription
MS13-096CritiqueMicrosoft Windows,
Microsoft Office,
Microsoft Lync
Peut nécessiter un redémarrageCette mise à jour de sécurité corrige une vulnérabilité révélée publiquement dans Microsoft Windows, Microsoft Office et Microsoft Lync. Cette vulnérabilité pourrait permettre l'exécution de code à distance si un utilisateur affichait du contenu renfermant des fichiers TIFF spécialement conçus.
MS13-097CritiqueMicrosoft Windows,
Internet Explorer
Nécessite un redémarrageCette mise à jour de sécurité corrige sept vulnérabilités signalées confidentiellement dans Internet Explorer. Les vulnérabilités les plus graves pourraient permettre l'exécution de code à distance si un utilisateur affichait une page Web spécialement conçue à l'aide d'Internet Explorer. Tout attaquant parvenant à exploiter les vulnérabilités les plus graves pourrait obtenir les mêmes droits que l'utilisateur actuel. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
MS13-098CritiqueMicrosoft Windows
Nécessite un redémarrageCette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans Microsoft Windows. Cette vulnérabilité pourrait permettre l'exécution de code à distance si un utilisateur ou une application exécutait ou installait un fichier exécutable portable (PE) signé et spécialement conçu sur un système affecté.
MS13-099CritiqueMicrosoft WindowsPeut nécessiter un redémarrageCette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans Microsoft Windows. Cette vulnérabilité pourrait permettre l'exécution de code à distance si un attaquant persuadait un utilisateur de visiter un site Web spécialement conçu ou un site Web hébergeant du contenu spécialement conçu. Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
MS13-100ImportantMicrosoft SharePointPeut nécessiter un redémarrageCette mise à jour de sécurité corrige plusieurs vulnérabilités signalées confidentiellement dans les logiciels serveurs Microsoft Office. Ces vulnérabilités pourraient permettre l'exécution de code à distance si un attaquant authentifié envoyait du contenu de page spécialement conçu à un serveur SharePoint. Un attaquant qui parviendrait à exploiter ces vulnérabilités pourrait exécuter du code arbitraire dans le contexte de sécurité du compte de service W3WP sur le site SharePoint cible.
MS13-101ImportantMicrosoft WindowsNécessite un redémarrageCette mise à jour de sécurité corrige cinq vulnérabilités signalées confidentiellement dans Microsoft Windows. La plus grave de ces vulnérabilités pourrait permettre une élévation de privilèges si un attaquant ouvrait une session sur un système et exécutait une application spécialement conçue. Pour exploiter cette vulnérabilité, l'attaquant doit disposer d'informations d'identification valides pour ouvrir une session en local.
MS13-102ImportantMicrosoft WindowsNécessite un redémarrageCette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans Microsoft Windows. Cette vulnérabilité pourrait permettre une élévation de privilèges si un attaquant usurpait un serveur LRPC et envoyait un message de port LPC spécialement conçu à un client LRPC. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer des comptes dotés de tous les droits d'administrateur. Pour exploiter cette vulnérabilité, l'attaquant doit disposer d'informations d'identification valides pour ouvrir une session en local.
MS13-103ImportantMicrosoft Windows, ASP.NetNe nécessite pas le redémarrage de l'ordinateurCette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans ASP.NET SignalR. Cette vulnérabilité pourrait permettre une élévation de privilèges si un attaquant renvoyait du contenu JavaScript spécialement conçu sur le navigateur de l'utilisateur ciblé.
MS13-104ImportantMicrosoft OfficePeut nécessiter un redémarrageCette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans Microsoft Office qui pourrait autoriser la divulgation d'informations si un utilisateur tentait d'ouvrir un fichier Office hébergé sur un site Web malveillant. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait vérifier les jetons d'accès utilisés pour authentifier l'utilisateur actuel sur un site SharePoint ciblé ou un autre site Microsoft Office Server.
MS13-105CritiqueMicrosoft ExchangeNe nécessite pas le redémarrage de l'ordinateurCette mise à jour de sécurité corrige trois vulnérabilités révélées publiquement et une vulnérabilité signalée confidentiellement dans Microsoft Exchange Server. La plus grave de ces vulnérabilités existe dans les fonctionnalités de technologie d'affichage de document WebReady et de prévention de pertes de données de Microsoft Exchange Server. Ces vulnérabilités pourraient permettre l'exécution de code à distance dans le contexte de sécurité du compte LocalService si un attaquant envoyait un message électronique contenant un fichier spécialement conçu à un utilisateur sur un serveur Exchange concerné. Le compte LocalService possède des privilèges minimaux sur le système local et présente des informations d'identification anonymes sur le réseau.
MS13-106ImportantMicrosoft OfficePeut nécessiter un redémarrageCette mise à jour de sécurité corrige une vulnérabilité révélée publiquement dans un composant partagé de Microsoft Office et actuellement exploitée. Cette vulnérabilité pourrait permettre le contournement du composant de sécurité si un utilisateur affichait une page Web spécialement conçue dans un navigateur Web capable d'instancier des composants COM, tel qu'Internet Explorer. Dans le cas d'une attaque via un navigateur Web, un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait contourner le composant de sécurité de randomisation du format d'espace d'adresse (ASLR), qui protège les utilisateurs contre un grand nombre de vulnérabilités. Le contournement du composant de sécurité ne suffit pas pour exécuter du code arbitraire. Toutefois, un attaquant pourrait utiliser cette vulnérabilité de contournement d'ASLR en combinaison avec une autre vulnérabilité, telle qu'une vulnérabilité d'exécution de code à distance qui profiterait du contournement d'ASLR pour exécuter du code arbitraire.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *