Mise à jour cumulative pour Internet Explorer (MS07-027 ; 931768)

Le navigateur Web, ainsi que deux contrôles ActiveX (Acer LunchApp et Research In Motion Blackberry) voient des failles de sécurité comblées. Cette mise à jour prévient des exécutions de code à distance.

Vulnérabilités dans Microsoft Exchange pouvant permettre l’exécution de code à distance (MS07-026 ; 931832)

Ce patch corrige quatre failles du serveur Exchange, liées à l’exécution de code, mais également à des attaques de type déni de service.

Vulnérabilités dans CAPICOM pouvant permettre l’exécution de code à distance (MS07-028 ; 931906)

Le contrôle ActiveX destiné au chiffrement et à l’authentification, embarqué dans le Platform SDK, voit une faille corrigée. En effet, lorsqu’un attaquant passait des paramètres spécifiques à la classe Certificates, il était en mesure d’exécuter du code avec les privilèges de l’utilisateur courant. Le contrôle incriminé était livré avec BizTalk Server 2004. Les versions BizTalk 2000, 2002 et 2006 ne sont pas concernées.

Vulnérabilités dans Word pouvant permettre l’exécution de code à distance (MS07-024 ; 934232)

Trois vulnérabilités sont adressées ce mois-ci, dont une affecte également l’application Works. L’une d’elles est à nouveau liée au format de documents RTF : certaines propriétés permettaient à un fichier d’exécuter du code malicieux inclus dans le document.

Vulnérabilités dans Microsoft Excel pouvant permettre l’exécution de code à distance (MS07-023 ; 934233)

Une vulnérabilité critique, existant depuis la version 2000 d’Excel vient d’être corrigée. Il s’agissait d’une nouvelle technique d’insertion de code malicieux dans les fichiers Excel.

Vulnérabilités dans Microsoft Office pouvant permettre l’exécution de code à distance (MS07-023 ; 934873)

Office 2000, 2003, 2004 pour Mac, XP et 2007 sont susceptibles de laisser un attaquant exécuter du code si un objet de type Dessin hostile est inclus dans un document Office.

Vulnérabilité dans l’interface Windows DNS RPC pouvant permettre l’exécution de code à distance (MS07-029 ; 935966)

Il s’agit d’un dépassement de buffer sur utilisation de caractères spéciaux dans les noms de zone. Jugée critique par Microsoft, elle fait apparaître qu’un attaquant peut gagner les droits de l’utilisateur SYSTEM sur les machines incriminées. Windows 2000 Server, Server 2003 et Small Business Server 2000 et 2003 sont concernés.