Microsoft a publié aujourd’hui des mises à jour pour combler 123 failles de sécurité dans les fenêtres et les logiciels associés, y compris les correctifs pour une faille critique « wormable » dans Serveur Windows versions qui, selon Microsoft, seront probablement exploitées prochainement. Bien que cette faiblesse particulière affecte principalement les entreprises, le package de soins de juillet de Redmond a un petit quelque chose pour tout le monde. Donc, si vous êtes un (ab)utilisateur de Windows, il est à nouveau temps de sauvegarder et de corriger (de préférence dans cet ordre).
Le sommet du tas ce mois-ci en termes de peur absolue est CVE-2020-1350qui concerne un bogue exploitable à distance dans plus ou moins toutes les versions de Windows Server que les attaquants pourraient utiliser pour installer des logiciels malveillants simplement en envoyant une requête DNS spécialement conçue.
Microsoft a déclaré qu’il n’était pas au courant de rapports selon lesquels quelqu’un exploite (encore) la faiblesse, mais la faille s’est vu attribuer un Note CVSS de 10, ce qui se traduit par « facile à attaquer » et « susceptible d’être exploité ».
« Nous considérons qu’il s’agit d’une vulnérabilité vermifuge, ce qui signifie qu’elle a le potentiel de se propager via des logiciels malveillants entre des ordinateurs vulnérables sans interaction de l’utilisateur », a écrit Microsoft dans sa documentation sur CVE-2020-1350. « DNS est un composant réseau fondamental et généralement installé sur les contrôleurs de domaine, donc un compromis pourrait entraîner des interruptions de service importantes et la compromission des comptes de domaine de haut niveau. »
CVE-2020-1350 n’est que la dernière préoccupation des administrateurs système d’entreprise chargés de corriger les bogues dangereux dans les logiciels largement utilisés. Au cours des deux dernières semaines, des correctifs pour les failles avec des cotes de gravité élevées ont été publiés pour un large éventail de produits logiciels généralement utilisés par les entreprises, y compris Citrix, F5, Juniper, Oracle et SAP. Ceci à un moment où de nombreuses organisations manquent déjà de personnel et font face à des employés travaillant à distance en raison de la pandémie de COVID-19.
La vulnérabilité de Windows Server n’est pas la seule méchante abordée ce mois-ci que les logiciels malveillants ou les malcontents peuvent utiliser pour s’introduire dans les systèmes sans l’aide des utilisateurs. 17 autres failles critiques corrigées dans cette version s’attaquent aux faiblesses de sécurité que Microsoft a attribuées à sa cote «critique» la plus grave, comme dans Bureau, Exploseur Internet, SharePoint, Visual Studioet Microsoft .NET Framework.
Certains des bogues critiques les plus sourcilleux abordés ce mois-ci incluent CVE-2020-1410qui selon Avenir enregistré concerne le Carnet d’adresses Windows et pourrait être exploité via un fichier vcard malveillant. Alors il y a CVE-2020-1421, qui protège contre les fichiers .LNK potentiellement malveillants (pensez à Stuxnet) qui pourraient être exploités via un lecteur amovible ou un partage distant infecté. Et nous avons le duo dynamique de CVE-2020-1435 et CVE-2020-1436qui impliquent des problèmes avec la façon dont Windows gère les images et les polices qui pourraient être exploitées pour installer des logiciels malveillants simplement en incitant un utilisateur à cliquer sur un lien ou un document piégé.
Cela ne veut pas dire que les défauts classés « importants » par opposition à critiques ne sont pas également un problème. Le principal parmi ceux-ci est CVE-2020-1463un problème à l’intérieur Windows 10 et Serveur 2016 ou plus tard qui a été détaillé publiquement avant le Patch Tuesday de ce mois-ci.
Avant de mettre à jour avec le lot de correctifs de ce mois-ci, assurez-vous d’avoir sauvegardé votre système et/ou vos fichiers importants. Il n’est pas rare qu’une mise à jour Windows particulière étouffe son système ou l’empêche de démarrer correctement, et certaines mises à jour sont même connues pour effacer ou corrompre des fichiers. Le paquet de joie du mois dernier de Microsoft a envoyé mon système Windows 10 dans un état de plantage perpétuel. Heureusement, j’ai pu restaurer à partir d’une sauvegarde récente.
Alors faites-vous une faveur et sauvegardez avant de installer des correctifs. Windows 10 a même quelques outils intégrés pour vous aider à le faire, soit par fichier/dossier, soit en créant une copie complète et amorçable de votre disque dur en une seule fois.
Gardez également à l’esprit que Windows 10 est configuré pour appliquer les correctifs selon son propre calendrier, ce qui signifie que si vous retardez la sauvegarde, vous pourriez vous retrouver dans une course folle. Si vous souhaitez vous assurer que le système d’exploitation a été configuré pour suspendre la mise à jour afin de pouvoir sauvegarder vos fichiers et/ou votre système avant de le système d’exploitation décide de redémarrer et d’installer des correctifs quand bon lui semble, voir ce guide.
Comme toujours, si vous rencontrez des problèmes ou des problèmes lors de l’installation de l’un de ces correctifs ce mois-ci, veuillez envisager de laisser un commentaire à ce sujet ci-dessous ; il y a de fortes chances que d’autres lecteurs aient vécu la même chose et peuvent donner ici quelques conseils utiles. Aussi, gardez un œil sur le blog AskWoody de Woody Leonhardqui surveille de manière fiable les mises à jour boguées de Microsoft chaque mois.