Les failles critiques concernant Windows portent les références MS05-009, MS05-010, MS05-011, MS05-012, MS05-013, MS05-014 (commentée en partie par Jouko Pynnönen mais englobant plusieurs « fixes » d'un coup provoqués par les découvertes de notamment Andreas Sandblad, Michael Krax et Paul de Greyhats), MS05-015, tandis que les bulletins MS05-004 - un BoF découvert par Rafel Ivgi de Finjan -, MS05-007 et MS05-008 qui corrige le fameux bug « drag and drop », ne sont qualifiés que « d'importants ».
S'ajoutent à cette longue litanie deux défauts, l'un critique, numéroté MS05-005 et qui concerne Office XP, Project, Visio et plusieurs versions de Works, l'autre qui touche Sharepoint Team Services sous l'identification MS05-006.
Les principaux observatoires d'alerte - tel le Sans- insistent sur le côté « exploitable à distance » des principaux défauts critiques et incitent donc les administrateurs à engager le plus vite possible leurs tests de non-régression.
Profitons de l'occasion pour revenir sur la faille OWA signalée par Donnie Werner ce mardi. Après vérification technique, il est effectivement possible de « détourner » et spoofer une page de login « Webmail » d'Exchange Server sous Windows 2003 en suivant strictement les instructions de l'auteur de l'alerte. Reste que, généralement, les administrateurs de messagerie ont coutume de faire précéder leurs MTA par un firewall matériel ou logiciel, souvent ISA Server - rares en effet sont les Exchanges accessibles « directement ». Et le filtrage desdits firewalls - et d'ISA Server en particulier - s'avère très efficace contre ces attaques par « url forgée ». Le problème peut se présenter peut-être plus fréquemment sur des configurations légères et moins bien sécurisées, notamment sur des architectures SBS (Small Business Server).