Mises à jour : pour les applications aussi !

Nous ne manquons jamais une occasion de rappeler que les mises à jour de sécurité des produits Microsoft, publiées le 2ème mardi de chaque mois, ne sont pas des options, et qu’il existe des procédures et outils (comme WSUS) qui vous vous assistent dans ce travail nécessaire.

Ce récent bulletin d’alerte du CERTA (voir également l’alerte de l’US-CERT en anglais) est l’occasion pour moi de rappeler que les mises à jour ne concernent pas que les produits Microsoft. Il s’agit cette fois d’une vulnérabilité du lecteur Adobe Reader, pour laquelle Adobe prévoit une mise à jour pour le 11 mars prochain. La publication de cette vulnérabilité vous permet de préparer précisément le déploiement d’une contre-mesure, et de la mise à jour dès sa mise à disposition.

Pourquoi est-il nécessaire de surveiller et mettre à jour les applications les plus courantes sur les postes de travail ? Voici quelques réponses.

Tout d’abord en sécurité un principe est bien connu : celui du déséquilibre entre l’attaquant et le défenseur. L’attaquant n’a qu’à trouver un seul point faible dans un système, mais le défenseur n’a pas le choix, il doit protéger tous les points d’entrée potentiels. Donc, mettre à jour tous les composants des postes, dont toutes les applications.

Deuxième raison : certaines applications installent des plugins des navigateurs web - Adobe Reader, QuickTime, Real Player, Flash, Java en sont de bons exemples. Le navigateur est le composant le plus exposé, mais de plus en plus mis à jour par les utilisateurs et entreprises. D’où la tendance actuelle des attaquants à focaliser leurs attaques sur les plugins et contrôles tiers.

Troisième raison : des applications à jour permettent le plus souvent une installation sans problèmes des dernières mises à jour système. Par exemple, un client a rencontré un problème d’installation de la mise à jour hors cycle d’Internet Explorer en décembre : la raison en était simplement la présence de la version 6 d’Adobe Reader sur les postes… Plus aucun fournisseur d’application ne testerait ses produits sur Windows XP SP1. Mais dans ce cas la réciproque est vraie aussi !

Pour finir voici une liste non exhaustive et purement subjective de quelques applications pour lesquelles, si vous les avez sur vos postes, vous devriez en assurer le suivi et les mises à jour régulières :

• Mozilla Firefox
• Adobe Reader
• Adobe Flash Player
• Apple Quick Time
• Real Player
• Sun Java
• WinZip, WinRAR, 7-Zip
• VLC
• Skype

Il faut s’y faire : une configuration stable dans le temps est une configuration vulnérable. C’est tout simplement un fait.

Patchez-vous bien !

Mise à jour 24/02/2009 – cité l’article en français du CERTA .

Comments

• Anonymous
  January 01, 2003
  Adobe a publié la version 9.1 d’Adobe Reader. Il s’agit de la mise à jour corrigeant la vulnérabilité