A l’occasion du Patch Tuesday, Microsoft a corrigé la faille zero day CVE-2016- 3351, exploitée par les groupes de publicité malveillante AdGholas et GooNky et découverte par la firme de Mountain View au sein d’un des six bulletins critiques sur 14 publiés.
Cette vulnérabilité concerne un contrôle de type MIME servant à filtrer les systèmes présentant certaines associations d’extensions au niveau du shell, notamment .py, .pcap et .saz. Permetant une escalade de privilèges, offrant ainsi à une tâche de s’exécuter avec des droits étendus elle est capable de passer outre le bac à sable intégré à Chrome. Microsoft a donc été pressé par Google de corriger au plus vite ce trou de sécurité ce qu’ils on fait cette semaine dans le cadre du traditionnel Patch Tuesday.
Cette fois, le Patch Tuesday de Microsoft a corrigé 68 vulnérabilités parmi lesquelles deux étaient déjà activement exploitées par des hackers. L’éditeur a réactioné avec un peu de retard, car il y avait deux failles dans le kernel Windows dont celle révélé il y a quelques jours par Google était déjà utilisée par des cybercriminels.
Autres bulletins critiques
Le dernier Patch Tuesday comprend 14 bulletins de sécurité dont 6 sont classés comme critiques. Celui qui colmate la faille zero day est le MS16-135, à installer en priorité selon les experts, Toujours au sein de ce bulletin, deux failles dans le kernel Windows (CVE-2016-7215 and CVE-2016-7246) sont corrigées. Parmi les autres bulletins critiques, le MS16-132 panse une vulnérabilité active dans le composant graphique de Windows. Microsoft affirme avoir modifié sa bibliothèque de polices pour bloquer une exécution de code à distance via Open Type Font.
Il corrige aussi 17 vulnerabilités sur Edge dont la plupart conduisent à l’exécution de code à distance. En plus, les spécialistes mettent l’accent sur le MS16-133 qui cible Office en corrigeant une douzaine de vulnérabilités dont 10 menant une exécution de code à distance et notent que les menaces exploitent de plus en plus des bogues non critiques et des vulnérabilités de bas niveau pouvant demeurer non corrigées pendant des mois voire des années.
