Patch Tuesday : Microsoft corrige 23 failles critiques
Pour cette rentrée, Microsoft a comblé 129 failles dont 23 classées critiques. Aucune n’a cependant fait l’objet d’un exploit.
Belle moisson de correctifs de sécurité pour cette rentrée de septembre du Patch Tuesday. Après avoir comblé 120 vulnérabilités en août, Microsoft en a patché 9 de plus ce mardi, affectant de nombreux systèmes et solutions dont Windows, Edge et IE, ChakraCore, SQL Server, Office, Dynamics, Visual Studio, Exchange Server, ASP.NET, OneDrive et Azure DevOps. Sur les 129 correctifs distribués, 23 sont classées comme critiques, 105 importantes et 1 dont le niveau de criticité est qualifié de modéré.
Bonne nouvelle : aucune des failles corrigées ne fait actuellement l’objet d’un exploit, ce qui ne doit cependant pas faire oublier aux entreprises d’appliquer ces patchs dès que possible.
Parmi les vulnérabilités comblées, on trouve la CVE-2020-16875 qui concerne une corruption mémoire dans Exchange. « Il s’agit sans aucun doute du bug le plus grave résolu ce mois-ci. Ce correctif corrige une vulnérabilité qui permet à un attaquant d’exécuter du code sur SYSTEM en envoyant un e-mail spécialement conçu à un serveur Exchange affecté. C’est à peu près le pire des cas pour les serveurs Exchange », ont prévenu les chercheurs de la Zero Day Initiative (ZDI).
Failles critiques :
- Microsoft Windows
- Microsoft Edge (EdgeHTML-based)
- Microsoft Edge (Chromium-based)
- Microsoft ChakraCore
- Internet Explorer
- SQL Server
- Microsoft JET Database Engine
- Microsoft Office and Microsoft Office Services and Web Apps
- Microsoft Dynamics
- Visual Studio
- Microsoft Exchange Server
- SQL ServerASP.NET
- Microsoft OneDrive
- Azure DevOps
Toutes les vulnérabilités énumérées ci-dessus sont des problèmes graves, et en particulier celles qui affectent Windows (en raison de l’énorme surface d’attaque), SharePoint et Dynamics 365. Ces systèmes sont souvent installés sur de grands réseaux d’entreprise.
Les auteurs de logiciels malveillants sont connus pour suivre les mises à jour de sécurité mensuelles de Microsoft, pour sélectionner les bugs les plus utiles/dangereux,. Ils analysent les éléments mis à jour afin de trouver la faille exacte que Microsoft a corrigée, de manière à pouvoir l’utiliser pour de futures attaques.
Il est conseillé aux administrateurs système d’examiner la menace posée par chacune des vulnérabilités du RCE énumérées ci-dessus, puis de décider si les mises à jour de sécurité de ce mois doivent être appliquées immédiatement ou si elles doivent être retardées pour des tests supplémentaires.
Vous trouverez ci-dessous des informations complémentaires sur le patch Microsoft Patch Tuesday d’aujourd’hui : https://portal.msrc.microsoft.com/fr-fr/security-guidance/releasenotedetail/2020-Sep
Nous sommes présents sur les réseaux : LinkedIn, Twitter, Facebook, Instagram