Microsoft a publié aujourd’hui des mises à jour pour combler près de 120 failles de sécurité dans les fenêtres et les logiciels pris en charge. Six des vulnérabilités ont déjà été détaillées publiquement, donnant potentiellement aux attaquants une longueur d’avance pour déterminer comment les exploiter dans des systèmes non corrigés. Plus inquiétant encore, Microsoft avertit que l’une des failles corrigées ce mois-ci est « vermifuge », ce qui signifie qu’aucune interaction humaine ne serait nécessaire pour qu’une attaque se propage d’une machine Windows vulnérable à une autre.
Neuf des vulnérabilités corrigées dans le Patch Tuesday de ce mois-ci ont reçu la note « critique » de Microsoft, ce qui signifie que les logiciels malveillants ou les malfaiteurs peuvent les exploiter pour accéder à distance aux systèmes Windows vulnérables sans l’aide de l’utilisateur.
Au dire de tous, le défaut le plus grave traité aujourd’hui est CVE-2022-21907, une faille critique d’exécution de code à distance dans le « Pile de protocole HTTP.” Microsoft affirme que la faille affecte Windows 10 et Windows 11aussi bien que Serveur 2019 et Serveur 2022.
« Bien que ce soit définitivement plus centré sur le serveur, rappelez-vous que les clients Windows peuvent également exécuter http.sys, donc toutes les versions concernées sont affectées par ce bogue », a déclaré Dustin Childs à partir de Initiative Zero Day de Trend Micro. « Testez et déployez ce patch rapidement. »
Rapidement en effet. En mai 2021, Microsoft a corrigé une vulnérabilité tout aussi critique et vermifuge dans la pile de protocoles HTTP ; moins d’une semaine plus tard, un code informatique réalisé pour exploiter la faille a été mis en ligne.
Microsoft a également corrigé trois autres failles d’exécution de code à distance dans Serveur d’échange, une technologie utilisée par des centaines de milliers d’organisations dans le monde pour gérer leur messagerie. Les failles d’échange sont une cible majeure des pirates malveillants. Il y a près d’un an, des centaines de milliers de serveurs Exchange dans le monde ont été compromis par des logiciels malveillants après que des attaquants ont commencé à exploiter en masse quatre failles zero-day dans Exchange.
Microsoft affirme que le facteur limitant avec ces trois failles Exchange nouvellement découvertes est qu’un attaquant devrait être lié d’une manière ou d’une autre au réseau de la cible pour les exploiter. Mais Satnam Narang à Défendable note que Microsoft a qualifié les trois failles d’Exchange d' »exploitation plus probable ».
« Un des défauts, CVE-2022-21846a été divulgué à Microsoft par le Agence de Sécurité Nationale« , a déclaré Narang. « Malgré la note, Microsoft note que le vecteur d’attaque est adjacent, ce qui signifie que l’exploitation nécessitera plus de démarches pour un attaquant, contrairement aux vulnérabilités ProxyLogon et ProxyShell qui étaient exploitables à distance. »
Entreprise de sécurité Rapide7 souligne qu’environ un quart des mises à jour de sécurité de ce mois corrigent des vulnérabilités dans Microsoft Bord navigateur via Chromium.
« Aucun d’entre eux n’a encore été vu exploité dans la nature, bien que six aient été divulgués publiquement avant aujourd’hui », a déclaré Rapid7. Greg Wiseman mentionné. « Cela inclut deux vulnérabilités d’exécution de code à distance affectant les bibliothèques open source qui sont regroupées avec des versions plus récentes de Windows : CVE-2021-22947qui affecte la bibliothèque curl, et CVE-2021-36976 qui affecte libarchive.
Wiseman a déclaré un peu moins effrayant que la vulnérabilité HTTP Protocol Stack CVE-2022-21840qui affecte toutes les versions prises en charge d’Office, ainsi que Sharepoint Server.
« L’exploitation nécessiterait une ingénierie sociale pour inciter une victime à ouvrir une pièce jointe ou à visiter un site Web malveillant », a-t-il déclaré. « Heureusement, le volet de prévisualisation de Windows n’est pas un vecteur pour cette attaque. »
D’autres correctifs incluent des correctifs pour .NET Framework, Microsoft Dynamics, Windows Hyper-V, Windows Defenderet le Protocole de bureau à distance Windows (RDP). Comme d’habitude, le Centre de tempête Internet SANS a un répartition par patch par gravité et impact.
Clause de non-responsabilité standard : avant de mettre à jour Windows, s’il te plaît assurez-vous d’avoir sauvegardé votre système et/ou vos fichiers importants. Il n’est pas rare qu’un package de mise à jour Windows étouffe son système ou l’empêche de démarrer correctement, et certaines mises à jour sont connues pour effacer ou corrompre des fichiers.
Alors rendez-vous service et sauvegardez avant d’installer des correctifs. Windows 10 a même quelques outils intégrés pour vous aider à le faire, soit par fichier/dossier, soit en créant une copie complète et amorçable de votre disque dur en une seule fois.
Et si vous souhaitez vous assurer que Windows a été configuré pour suspendre la mise à jour afin de pouvoir sauvegarder vos fichiers et/ou votre système avant que le système d’exploitation ne décide de redémarrer et d’installer les correctifs selon son propre calendrier, voir ce guide.
Si vous rencontrez des problèmes ou des problèmes lors de l’installation de l’un de ces correctifs ce mois-ci, veuillez envisager de laisser un commentaire à ce sujet ci-dessous ; il y a de fortes chances que d’autres lecteurs aient vécu la même chose et puissent apporter ici des conseils utiles.
Mise à jour, 12 janvier, 9h02 : Apparemment, certaines des mises à jour que Microsoft a publiées hier – KB5009557 (2019) et KB5009555 (2022) – provoquent l’échec de quelque chose sur les contrôleurs de domaine, qui redémarrent ensuite toutes les quelques minutes. C’est selon ce fil en pleine croissance sur Reddit (pointe du chapeau à @campuscodi).