Microsoft a publié hier soir une série de bulletins de sécurité, comme chaque deuxième mardi de chaque mois. Sept bulletins sont apparus, trois critique et quatre importants, corrigeant un total de 27 vulnérabilités réparties dans plusieurs produits.

Parmi les deux bulletins critiques, on trouve le Bureau à distance et le framework .Net. L'exploitation se signalerait par les mêmes symptômes : l'exécution à distance d'un code arbitraire. Dans le premier cas, une séquence spéciale de paquets RDP (Remote Desktop protocol) peut être utilisée, tandis que dans le second, il faudra une page web conçue pour l'occasion.

Le troisième bulletin critique est le plus important, car il corrige treize failles dans Internet Explorer. Parmi ce lot, une en particulier a été signalée publiquement, et pourrait donc déjà être exploitée. La plupart des failles peuvent être exploitées via une page web spécialement conçue et mener à une exécution de code arbitraire à distance. Notez que les versions 6, 7, 8 et 9 sont concernées, mais que les failles ne sont considérées critiques que sur les clients Windows. En cas de serveur, le niveau n'est que modéré.

Les failles importantes concernent le client de messagerie unifiée Lync, Dynamics AX Enterprise Portal, les pilotes du noyau Windows et le noyau Windows lui-même. Toutes ces failles ont des facteurs d'exploitation qui limitent la dangerosité, telles que la nécessité d'accéder physiquement à la machine, la possession d'identifiants de session valides ou encore que les filtres XSS soient activées pour Internet Explorer dans la zone de sécurité Intranet.

Toutes ces mises à jour sont disponibles dès à présent dans Windows Update. Leur nombre dépendra bien entendu des produits installés sur la machine. Par exemple, le correctif du framework .NET est répété autant de fois que de versions du framework.