Microsoft a divulgué ce mardi 56 vulnérabilités, dont six critiques et une modérée qui a été exploitée.
Les correctifs publiés traitent des vulnérabilités et expositions communes (CVE) dans Microsoft Windows et ses composants, Azure, Office et ses composants, SysInternals, Microsoft Edge (basé sur Chromium), SharePoint Server et le cadre .NET.
Une vulnérabilité exploitée
La faille de sécurité d’ores et déjà exploitée divulguée lors du Patch Tuesday affecte la fonctionnalité de sécurité Windows SmartScreen. Pour l’exploiter, un attaquant peut créer un fichier malveillant qui échappe aux défenses Mark of the Web (MOTW).
Lorsque vous téléchargez un fichier depuis internet, Windows ajoute l’identifiant de zone, ou MOTW, au fichier. Ce MOTW incite Windows SmartScreen à effectuer un contrôle de réputation. Toutefois, cet exploit entraîne une perte limitée de l’intégrité et de la disponibilité des fonctions de sécurité telles que Protected View dans Microsoft Office, qui reposent sur le marquage MOTW.
Cette vulnérabilité pourrait être exploitée si un attaquant convainc sa victime de se rendre sur un site web malveillant ou de cliquer sur une pièce jointe malveillante.
Failles de sécurité RCE
Les six CVE critiques divulguées mardi sont toutes des vulnérabilités d’exécution de code à distance (RCE). Elles ont un impact sur Microsoft Dynamics NAV et Microsoft Dynamics 365 Business Central (sur site), Microsoft SharePoint Server, PowerShell et Windows Secure Socket Tunneling Protocol (SSTP).
Source : ZDNet.com