-- Rappel des correctifs --

Windows : les failles Aide & Support et Aero corrigées

-- Rappel des correctifs -- Windows-vista-aero

Microsoft va combler mardi prochain la faille affectant le service d'Aide et Support de Windows XP. La faille liée à Aero pour Windows 7 64-bit sera également corrigée.
Le Patch Tuesday de juillet ne sera pas trop chargé en rustines. Mardi 13 juillet 2010, Microsoft prévoit la publication de quatre bulletins de sécurité pour combler un total de cinq vulnérabilités de sécurité. Trois bulletins sont classés critiques et un est catalogué important. L'action de comblement de failles concernera Windows XP et Server 2003, Windows 7 ( 64-bit ) et Server 2008 R2, ainsi que Office XP, 2003 et 2007.

Dans son préavis, Microsoft ne détaille pas le contenu du Patch Tuesday mais on connaît déjà une grande partie de sa saveur. Sans grande surprise, Microsoft va en effet proposer une rustine pour la faille mise au jour par Tavis Ormandy dans le service Aide et Support de Windows XP. Cette dernière a beaucoup fait parler d'elle et a relancé l'éternel débat sur la divulgation publique. En critiquant sévèrement Tavis Ormandy à ce sujet, Microsoft a déclenché une vive réaction de la part de certains chercheurs qui ont fondé le Microsoft Spurned Researcher Collective.

Découverte en juin, la faille dans l'Aide et Support de Windows XP est actuellement activement exploitée pour des attaques. Une exploitation, mais moins active a priori, c'est aussi le cas pour une vulnérabilité découverte en mai et qui touche la version uniquement 64-bit de Windows 7 ( pas Vista ). Des versions 64-bit dont on sait qu'elles ont le vent en poupe. La vulnérabilité est due à un problème au niveau du fichier cdd.dll ( Canonical Display Driver ) utilisé pour la composition du Bureau et affecte les PC où le thème Aero est activé.

Le mardi 13 juillet 2010 marquera également la fin du support pour Windows 2000 et Windows XP SP2. Les utilisateurs concernés sont donc conviés à installer le Service Pack 3 pour Windows XP par exemple afin de continuer à bénéficier des futures corrections de sécurité.

Source ==> www.generation-nt.com

Mise a jour Importante Java

Bonjour à tous

Voilà la nouvelle version de l'éditeur :

java 6 Update21

Vous pouvez la télécharger Ici :
http://www.java.com/fr/download/windows_xpi.jsp?locale=fr&host=www.java.com

Pour vérifier si vous avez la dernière version c'est ici :
http://www.java.com/en/download/help/testvm.xml

Petit Rappel :

N'oubliez pas de Bien mettre à jour votre PC,

Une fois la mise a jour faite,, N'oubliez pas de désinstaller l'ancienne version qui dans le cas inverse pourrait créer des conflit :

Via Menu démarrer >> Panneau de configuration >> Ajout Suppression de programmes <

Ou via >-> Ce logiciel <-<

@ bientôt sur la forum Wink

Une vague de correctifs sans précédent pour Windows

-- Rappel des correctifs -- 26868

A l'occasion d'un "patch day" inédit demain, Microsoft va diffuser une série de correctifs critiques ou importants concernant toutes les versions de Windows et un grand nombre d'applications majeures de l'OS. Pour ne pas prendre de risques inutiles, n'attendez pas pour faire vos mises à jour !

14 bulletins de sécurité seront donc diffusés demain par Windows apportant des correctifs à 34 vulnérabilités constatées sur ses logiciels ainsi que sur toutes les versions de Windows, à l'exception de Windows 2010. Sont notamment visés par cette série de patchs : Microsoft Office (sauf Office 2010), Internet Explorer, SQL, et Silverlight.

C'est la plus importante série de correctifs publiée sur un mois par la firme. 8 de ses bulletins sont jugés critiques et 6 sont jugés importants. 7 d'entre eux nécessiteront un redémarrage du système.

Au début du mois, Microsoft avait publié une mise à jour importante concernant un vulnérabilité sur les versions de Windows XP, Vista et 7.

Les ordinateurs connectés à internet se verront automatiquement proposés les mises à jour. Pour ne pas perdre de temps, rendez-vous sur Windows Upade au démarrage de l'ordinateur.

Source ==> www.commentcamarche.net

Adobe Reader et sécurité : publication en urgence

-- Rappel des correctifs -- AdobeReader

La semaine du 16 août, Adobe va publier en urgence une mise à jour de sécurité pour Adobe Reader et Acrobat.

Adobe_PDFLa semaine du 16 août, Adobe va faire une nouvelle exception à ses publications trimestrielles de sécurité afin de prodiguer un patch correctif pour Adobe Reader et Acrobat. Pour toutes les plateformes supportées, les versions les plus à jour ( 9.3.3 ) et antérieures seront concernées.

Découverte par le chercheur en sécurité Charlie Miller lors de la conférence Black Hat qui s'est tenue fin juillet, une vulnérabilité permet l'exécution de code arbitraire à distance en tirant parti d'un problème de traitement au niveau des polices de caractères.

Alors que cette vulnérabilité n'est pas sans rappeler celle utilisée pour le jailbreak de l'iPhone via un accès direct à la page JailbreakMe.com ( les deux failles touchent au traitement des polices de caractères dans les fichiers PDF ), elles sont toutefois bien distinctes.

Malgré cette publication en urgence, Adobe indique ne pas être au courant d'une exploitation active de la vulnérabilité. Par ailleurs, l'éditeur confirme que sa mise à jour trimestrielle pour Adobe Reader et Acrobat sera bien maintenue le 12 octobre 2010.

Rappelons par ailleurs un point d'importance. Adobe prévoit avec la version 10 de Reader ( Windows ) d'implémenter Une technologie de sandbox. De fait, l'action d'un document malveillant sera confinée à un espace isolé.

Source ==> www.generation-nt.com

Windows : 40 applications vulnérables

-- Rappel des correctifs -- Windows-logo_007D000000042316

Mercredi, ACROS a rendu publique une vulnérabilité ( quelques détails seulement ) affectant uniquement la version Windows d'iTunes. Rien de bien inquiétant puisque cette découverte de la société slovène dûment rapportée à Apple a déjà été corrigée depuis plusieurs mois ( iTunes 9.1 ). Sauf que H.D. Moore a réagi à cette publication en pointant du doigt un problème similaire qui affecterait près de 40 applications Windows différentes dont Windows Shell, l'interface utilisateur graphique principale du système d'exploitation de Microsoft.

L'homme, qui est connu pour avoir fondé le projet Metasploit ayant donné naissance au célèbre framework pour le développement et l'exécution de codes exploits à distance, a toutefois refusé de donner les noms des applications vulnérables. Il a néanmoins précisé qu'un correctif individuel devra être appliqué à chacune d'entre elles.

D'après les explications d'ACROS, pour le cas d'iTunes, des attaquants peuvent exécuter du code arbitraire sur des ordinateurs Windows via l'ouverture par l'utilisateur d'un fichier média présent sur le même réseau partagé qu'un fichier DLL malveillant. Une vulnérabilité qu'il est possible d'exploiter via HTTP et WebDAV.

Interrogé par Computerworld, H.D. Moore a indiqué que le vecteur d'attaque est légèrement différent pour plusieurs applications Windows, mais au final le résultat serait le même avec le chargement d'un fichier DLL malveillant. En attendant des correctifs, il conseille aux utilisateurs Windows de bloquer les échanges SMB sur les ports TCP 139 et 445, et de désactiver le client WebDAV.

À threatpost ( Kaspersky Lab ), H.D a souligné qu'un " large éventail de choses " sont en réalité vulnérables, " open source ainsi que commerciales ".

Source ==> www.generation-nt.com

Google corrige dix failles dans Chrome

Google vient de sortir une nouvelle mise à jour de son navigateur Chrome. Cette nouvelle version n’apporte aucune nouveauté, mais corrige dix failles, dont deux critiques, découvertes par des développeurs tiers.
10 000 dollars de récompense

Voilà un mois que Google communique sur l’augmentation des primes de son programme de rémunération pour la découverte de failles. Ainsi, un développeur déclarant la découverte d’une faille à Google peut recevoir jusqu’à 3133,7 dollars par faille. Voilà pourquoi la dizaine de failles corrigées dans cette nouvelle version n’ont pas été découvertes par Google, mais par des développeurs tiers. Plus de 10 000 dollars ont ainsi été distribués en récompense, dont près de 4674 à Sergey Glazunov, découvreur des deux failles critiques.

Google n’a pas donné de détail particulier sur ces différentes failles, mais recommande vivement à ses utilisateurs d’installer cette mise à jour de sécurité, peut-être la plus importante depuis la sortie du navigateur.

~~ Vulnérabilité dans le contrôle ActiveX Apple QuickTime ~~

==> http://www.certa.ssi.gouv.fr/site/CERTA-2010-ALE-013.pdf

Sujet: Microsoft : 11 vulnérabilités corriger => 14/09/10 Dim 12 Sep - 21:27

11 vulnérabilités corriger le 14/09/10

-- Rappel des correctifs -- Patchtuesday

Microsoft prépare un nouveau Patch Tuesday. Mardi prochain, Microsoft va mettre en ligne 9 bulletins de sécurité pour corriger un total de 11 vulnérabilités.

C'est un nouveau Patch Tuesday qui s'annonce copieux même si l'on n'atteindra pas le record d'août avec 14 mises à jour pour 34 failles à combler. Mardi 14 septembre, Microsoft prévoit de livrer 9 bulletins de sécurité afin de corriger 11 vulnérabilités affectant Windows, Internet Information Services ( IIS ) et Microsoft Office. Un nombre de vulnérabilités d'abord annoncé à 13 puis ramené à 11.

Parmi ces neuf bulletins, quatre seront critiques pour des vulnérabilités d'exécution de code à distance. Pour ces bulletins critiques, un sera à destination d'Office XP, 2003 et 2007 avec plus spécifiquement concerné Outlook. Pour les trois autres, ils toucheront Windows mais à noter que Windows 7 et son pendant serveur ( Windows Server 2008 R2 ) ne seront pas dans le lot, sans pour autant échapper à des mises à jour pour cette fois-ci des vulnérabilités importantes.

Il faudra attendre le jour J pour connaître les détails de ces nouvelles mises à jour de sécurité. Reste que les utilisateurs Windows savent déjà qu'ils n'y couperont pas et les administrateurs peuvent se préparer.

Source ==> www.generation-nt.com

Microsoft publie un avis de sécurité à propos d'une vulnérabilité de sécurité affectant les applications Web ASP.NET.

Vent de panique pour les applications ASP.NET ? Deux chercheurs en sécurité informatique ont démontré qu'une attaque est à même de réduire à néant la sécurité de ASP.NET afin de permettre à des données chiffrées d'être déchiffrées sans une clé. Une vulnérabilité confirmée par Microsoft.

Selon la firme de Redmond, ASP.NET utilise un chiffrement pour cacher et protéger des données sensibles d'une manipulation par le client. Une " vulnérabilité dans l'implémentation du chiffrement ASP.NET peut permettre à un attaquant de déchiffrer et manipuler ces données ". Elle affecte toutes les versions de .NET Framework.

Microsoft explique par exemple que si l'application ASP.NET prise pour cible stocke des informations sensibles, comme des mots de passe ou des informations de connexion à une base de données, dans l'objet ViewState, ces données peuvent être compromises. " L'objet ViewStat est chiffré et envoyé au client sous la forme d'une variable cachée, c'est donc une cible possible pour l'attaque ".

Pour le moment, Microsoft n'a pas eu connaissance d'attaques mais encourage les utilisateurs à mettre en place des mesures de contournement. Pour les administrateurs, un script est proposé afin de déterminer si une application ASP.NET est vulnérable. Le cas échéant, ils doivent utiliser la fonctionnalité customErrors de ASP.NET afin que les applications retournent une même page d'erreur quelle que soit l'erreur rencontrée sur le serveur.

Source ==> www.generation-nt.com

Mise À jour de sécurité disponibles pour Adobe Flash Player

Date de sortie: Septembre 20, 2010

Identifiant de vulnérabilité: APSB10-22

nombre CVE: CVE-2010-2884

Plate-forme: Toutes les plates-formes
Résumé

Une critique vulnérabilité existe dans Adobe Flash Player 10.1.82.76 et les versions antérieures de Windows, Macintosh, Linux et Solaris, et Adobe Flash Player 10.1.92.10 pour Android. Cette vulnérabilité affecte également Adobe Reader 9.3.4 et les versions antérieures de Windows, Macintosh et UNIX, et Adobe Acrobat 9.3.4 et les versions antérieures de Windows et Macintosh. Cette vulnérabilité (CVE-2010-2884) pouvait provoquer un crash et potentiellement permettre à un attaquant de prendre le contrôle du système affecté. Il ya des rapports que cette vulnérabilité est activement exploitée dans la nature contre Adobe Flash Player sous Windows. Adobe n'est pas au courant de toutes les attaques exploitant cette vulnérabilité contre Adobe Reader ou Acrobat à ce jour.

Adobe recommande aux utilisateurs d'Adobe Flash Player 10.1.82.76 et les versions antérieures de Windows, Macintosh, Linux et Solaris mise à jour de Adobe Flash Player 10.1.85.3, et les utilisateurs d'Adobe Flash Player 10.1.92.10 de mise à jour Android à Adobe Flash Player 10.1.95.1 .
versions logicielles concernées

Adobe Flash Player 10.1.82.76 et les versions antérieures de Windows, Macintosh, Linux et Solaris, et Adobe Flash Player 10.1.92.10 pour Android.

Pour vérifier la version d'Adobe Flash Player installé sur votre système, accédez à la page A propos de Flash Player, ou faites un clic droit sur le contenu s'exécutant dans Flash Player et sélectionnez «À propos d'Adobe (ou de Macromedia) Flash Player" dans le menu. Si vous utilisez plusieurs navigateurs, effectuez la vérification pour chaque navigateur que vous avez installé sur votre système.
Solution

Adobe recommande à tous les utilisateurs d'Adobe Flash Player 10.1.82.76 et les versions antérieures d'installer la dernière version 10.1.85.3 en le téléchargeant à partir du Adobe Flash Player Centre de téléchargement ou en l'installant via le mécanisme d'auto-mise à jour dans le produit lorsque vous êtes invité.

Les utilisateurs de Flash Player pour la version Android 10.1.92.10 et versions antérieures peuvent mettre à jour vers Flash Player version 10.1.95.1 par la navigation à la place du marché Android sur un téléphone Android.

Pour les utilisateurs qui ne peuvent pas mise à jour de Flash Player 10.1.85.3, Adobe a développé une version patchée de Flash Player 9, Flash Player 9.0.283, qui peut être téléchargé ici.
Degré de gravité

Adobe catégorise cela comme une critique mise à jour et recommande aux utilisateurs concernés de mettre à jour leurs installations les plus récentes versions.
Détails

Une critique vulnérabilité existe dans Adobe Flash Player 10.1.82.76 et les versions antérieures de Windows, Macintosh, Linux et Solaris, et Adobe Flash Player 10.1.92.10 pour Android. Cette vulnérabilité affecte également Adobe Reader 9.3.4 et les versions antérieures de Windows, Macintosh et UNIX, et Adobe Acrobat 9.3.4 et les versions antérieures de Windows et Macintosh. Cette vulnérabilité (CVE-2010-2884) pouvait provoquer un crash et potentiellement permettre à un attaquant de prendre le contrôle du système affecté. Il ya des rapports que cette vulnérabilité est activement exploitée dans la nature contre Adobe Flash Player sous Windows. Adobe n'est pas au courant de toutes les attaques exploitant cette vulnérabilité contre Adobe Reader ou Acrobat à ce jour.

Adobe recommande aux utilisateurs d'Adobe Flash Player 10.1.82.76 et les versions antérieures de Windows, Macintosh, Linux et Solaris mise à jour de Adobe Flash Player 10.1.85.3, et les utilisateurs d'Adobe Flash Player 10.1.92.10 de mise à jour Android à Adobe Flash Player 10.1.95.1 .

Nous nous attendons à fournir des mises à jour pour Adobe Reader 9.3.4 pour Windows, Macintosh et UNIX, et Adobe Acrobat 9.3.4 pour Windows et Macintosh au cours de la semaine du 4 Octobre 2010.

Les utilisateurs de Google Chrome peut mettre à jour de Chrome 6.0.472.62. Pour vérifier votre numéro de Chrome version actuelle et mettre à jour si nécessaire, suivez les instructions ici: http://www.google.com/support/chrome/bin/answer.py?hl=en&answer=95414.

Vulnérabilités multiples dans Internet Explorer (12/10/10)

RESUME :
Un correctif cumulatif est disponible pour le navigateur Internet Explorer. En plus de ceux déjà connus, il corrige dix nouveaux défauts de sécurité. L'exploitation des failles les plus sévères peut permettre à un individu malveillant ou à un virus d'exécuter à distance du code malicieux sur l'ordinateur de sa victime à l'ouverture d'une page web piégée.

LOGICIEL(S) CONCERNE(S) :
Microsoft Internet Explorer 8.0
Microsoft Internet Explorer 7.0
Microsoft Internet Explorer 6.0

RISQUE :
Critique

CORRECTIF :
Les utilisateurs concernés doivent appliquer immédiatement le correctif correspondant à leur logiciel via le service WindowsUpdate ou en le téléchargeant sur le site de l'éditeur, afin de prévenir toute exploitation malveillante.

INFORMATIONS COMPLEMENTAIRES :
-> Microsoft Security Bulletin MS10-071 (en anglais) http://www.microsoft.com/technet/security/Bulletin/MS10-071.mspx
-> FAQ : comment savoir si ce logiciel est installé sur mon ordinateur? http://www.secuser.com/faq/securite/index.htm#logiciels_installes
-> FAQ : comment déterminer le numéro de version de votre logiciel? http://www.secuser.com/faq/securite/index.htm#numero_version