Cette semaine a marqué la publication des correctifs de sécurité programmés mensuellement par Microsoft. Avec le lot de mises à jour du Patch Tuesday de septembre, Microsoft a corrigé 59 vulnérabilités sur différents produits, dont deux zero-days.
Deux vulnérabilités de type “zero day” ont reçu des correctifs
Les mises à jour les plus importantes publiées ce mois-ci comprennent deux correctifs zero-day.
La première est une vulnérabilité de divulgation d'informations dans Microsoft Word (CVE-2023-36761). Selon l'avis de Microsoft, la vulnérabilité exploite le volet de prévisualisation comme vecteur d'attaque, divulguant les hachages NTLM à un attaquant sans interaction de l'utilisateur. Le géant de la technologie a marqué cette faille comme un problème de gravité important (CVSS 6.2) et a confirmé avoir détecté une exploitation active de cette faille dans la nature.
La deuxième vulnérabilité zero-day (CVE-2023-36802) existe dans le proxy du service de streaming de Microsoft. L'exploitation de cette vulnérabilité permet aux attaquants d'obtenir des privilèges élevés sur les systèmes cibles, y compris des privilèges SYSTEM. Bien que Microsoft ait confirmé la divulgation publique de la vulnérabilité avant l'application du correctif, elle a également assuré ne détecter aucune exploitation active.
Autres correctifs du Patch Tuesday de Microsoft pour septembre 2023
En plus des deux zero-days, le lot de mises à jour de septembre comprend des correctifs pour cinq problèmes de sécurité critiques. Parmi ceux-ci, les quatre vulnérabilités suivantes pourraient permettre l'exécution de code à distance.
- CVE-2023-38148 (CVSS 8.8) – Une vulnérabilité affectant le partage de connexion Internet (ICS). Un attaquant peut exploiter la faille pour les systèmes compatibles ICS en envoyant des paquets réseau malicieusement élaborés au service ICS pour cibler des systèmes sur le même segment de réseau.
- CVE-2023-36792, CVE-2023-36793, et CVE-2023-36796 (CVSS 7.8) – Un attaquant ayant un accès local à la machine cible peut exploiter ces vulnérabilités dans Visual Studio pour exécuter des codes arbitraires. Pour exploiter ces failles, il suffit d'inciter l'utilisateur victime à ouvrir un fichier de paquetage malveillant.
La cinquième vulnérabilité critique comprend CVE-2023-29332 (CVSS 7,5) – une vulnérabilité d'escalade des privilèges affectant le service Microsoft Azure Kubernetes. Microsoft a estimé qu'il s'agissait d'une faille facilement exploitable, permettant à un adversaire distant d'obtenir les privilèges d'administrateur de cluster.
En outre, le géant de la technologie a corrigé 51 vulnérabilités de gravité importantes affectant notamment .Net Framework, 3D Builder, 3D Viewer, Azure DevOps Server, DHCP Server, Microsoft Exchange Server, Microsoft Office, Outlook, SharePoint, Windows Defender et Windows Kernel. En outre, le géant de la technologie a également remédié à une vulnérabilité d'usurpation d'identité de gravité modérée dans Microsoft Office (CVE-2023-41764 ; CVSS 5,5).
Bien que ces mises à jour atteignent automatiquement tous les systèmes éligibles, les utilisateurs doivent toujours vérifier manuellement les mises à jour du système pour s'assurer que les correctifs arrivent à temps.
Fais-nous part de tes réflexions dans les commentaires.
