C’est un très gros Patch Tuesday en ce mois d’avril. Microsoft corrige un total de 147 vulnérabilités de sécurité. À titre de comparaison, le Patch Tuesday du mois de mars précédent concernait une soixantaine de vulnérabilités de sécurité.
Windows, Office, Azure, .NET Framework, Visual Studio, SQL Server, DNS Server, Windows Defender, BitLocker et Windows Secure Boot sont dans le lot.
» Il s’agit de la plus importante publication de Microsoft cette année et de la plus importante depuis au moins 2017. Pour autant que je sache, il s’agit de la plus grande publication de Patch Tuesday de Microsoft de tous les temps « , déclare Dustin Childs pour Zero Day Initiative (Trend Micro).
Mauvaise nouvelle pour le démarrage sécurisé ?
Pour Tenable, Satnam Narang met également en avant un record avec le nombre de vulnérabilités corrigées en un mois. Il souligne notamment la correction de 24 vulnérabilités dans Windows Secure Boot, même si Microsoft considère une exploitation moins probable.
» La dernière fois que Microsoft a corrigé une faille dans Windows Secure Boot en mai 2023, cela a eu un impact notable. Elle a été exploitée dans la nature et liée au bootkit BlackLotus UEFI qui a été vendu sur des forums du Dark Web pour 5 000 dollars. «
Deux vulnérabilités 0-day
Avec le Patch Tuesday d’avril, seulement trois vulnérabilités sont jugées critiques. Elles affectent Microsoft Defender pour IoT. Dans un premier temps, Microsoft n’a pas fait mention de vulnérabilité 0-day, mais c’est finalement le cas avec les vulnérabilités CVE-2024-29988 et CVE-2024-26234.
En particulier, la vulnérabilité CVE-2024-29988 est de type exécution de code à distance et permet à des attaquants de contourner la technologie de protection Windows SmartScreen.
À noter par ailleurs que le Patch Tuesday du mois d’avril s’accompagne du déploiement à grande échelle des nouveautés dites Moment 5 de Windows 11. C’était auparavant une mise à jour optionnelle.