Gabriel V.
Pourquoi c’est important: Le deuxième mardi de chaque mois au cours des deux dernières décennies, Redmond a régulièrement publié de nouvelles mises à jour de sécurité pour Windows et tous ses produits logiciels. Cette pratique est informellement appelée « Patch Tuesday » et elle ajoute généralement à la charge de travail des administrateurs système et des spécialistes de l’analyse de code.
Microsoft a récemment publié des correctifs de sécurité pour 87 bugs. Le Patch Tuesday de ce mois-ci comprend également des remèdes pour deux vulnérabilités activement exploitées par des cybercriminels. Le bulletin officiel de Redmond comprend des test de sécurité pour Teams, Exchange Server, .NET Core, Visual Studio, Azure, Hyper-V et divers composants Windows.
Six vulnérabilités ont été classées comme « tests », tandis que 23 failles pourraient être exploitées pour exécuter un code potentiellement malveillant à partir de sites distants. Dans l’ensemble, les failles corrigées par le dernier Patch Tuesday sont classées comme suit: 18 vulnérabilités d’élévation de privilèges, trois vulnérabilités de contournement des fonctionnalités de sécurité, 23 vulnérabilités d’exécution de code à distance, 10 vulnérabilités de divulgation d’informations, huit vulnérabilités de déni de service et 12 vulnérabilités d’usurpation d’identité.
Les mises à jour ne comprennent pas 20 correctifs de sécurité pour le navigateur Edge basé sur Chromium, que Microsoft a publié plus tôt ce mois-ci. Un rapport complet sur toutes les vulnérabilités corrigées et les test connexes a été publié par Bleeping Computer.
Patch Tuesday comprend un test (ADV230003) sur une mise à jour de la défense en profondeur de Microsoft Office, conçue pour renforcer la sécurité de sa suite de productivité de Redmond. Cette mise à jour contrecarre une chaîne d’attaque qui pourrait conduire à CVE-2023-36884, une vulnérabilité d’exécution de code à distance précédemment atténuée dans la fonction de recherche de Windows. Cette faille pourrait contourner la fonctionnalité de sécurité Mark of the Web (MoTW), incitant les utilisateurs à télécharger et ouvrir des fichiers malveillants sans afficher d’avertissement de sécurité.
La faille zero-day avait déjà été exploitée dans une opération de rançongiciel par le groupe de pirates informatiques RomCom. Cependant, elle devrait maintenant être corrigée (et inopérante) pour de bon. Le deuxième zero-day abordé ce mois-ci est une vulnérabilité de déni de service .NET et Visual Studio (CVE-2023-38180), capable de causer un déni de service contre les applications .NET et l’IDE Visual Studio. Microsoft n’a fourni aucun détail supplémentaire sur cette faille.
Microsoft a déployé sa dernière série de correctifs via Windows Update, les systèmes de gestion des mises à jour tels que WSUS et en tant que téléchargements directs disponibles sur le Catalogue Microsoft Update. D’autres entreprises fournissant des correctifs de sécurité en synchronisation avec le Patch Tuesday d’août 2023 incluent Adobe, AMD, Cisco, Google, SAP et VMware.
Découvrez le reportage du mois (sous-titré en français), l’IA gagnera t-elle face aux champion du monde du jeu de Go ? :
