Microsoft a publié des mises à jour de sécurité pour résoudre 51 défauts dans le cadre de ses mises à jour du Patch Tuesday de juin 2024.
Sur les 51 vulnérabilités, une est classée critique et 50 sont classées importantes. Ceci s’ajoute à 17 vulnérabilités résolu dans le navigateur Edge basé sur Chromium au cours du mois dernier.
Aucune des failles de sécurité n’a été activement exploitée, l’une d’entre elles étant répertoriée comme étant publiquement connue au moment de la publication.
Il s’agit d’un avis tiers suivi comme CVE-2023-50868 (score CVSS : 7,5), un problème de déni de service impactant le processus de validation DNSSEC et pouvant provoquer un épuisement du processeur sur un résolveur de validation DNSSEC.
Cela a été rapporté par des chercheurs du Centre national de recherche sur la cybersécurité appliquée (ATHENE) à Darmstadt en février dernier, aux côtés de KeyTrap (CVE-2023-50387, score CVSS : 7,5).
“NSEC3 est une version améliorée de NSEC (Next Secure) qui permet un déni d’existence authentifié”, a déclaré Tyler Reguly, directeur associé de la recherche et du développement en matière de sécurité chez Fortra, dans un communiqué. “En prouvant qu’un enregistrement n’existe pas (avec la preuve des enregistrements environnants), vous pouvez contribuer à prévenir l’empoisonnement du cache DNS contre des domaines inexistants.”
“Comme il s’agit d’une vulnérabilité au niveau du protocole, les produits autres que Microsoft sont affectés par des serveurs DNS bien connus tels que bind, powerdns, dnsmasq et d’autres qui publient également des mises à jour pour résoudre ce problème.”
La plus grave des failles corrigées dans la mise à jour de ce mois-ci est une faille critique d’exécution de code à distance (RCE) dans le service Microsoft Message Queuing (MSMQ) (CVE-2024-30080score CVSS : 9,8).
“Pour exploiter cette vulnérabilité, un attaquant devrait envoyer un paquet MSMQ malveillant spécialement conçu à un serveur MSMQ”, a déclaré Microsoft. “Cela pourrait entraîner l’exécution de code à distance côté serveur.”
Plusieurs autres bugs RCE affectant Microsoft Outlook ont également été résolus par Redmond (CVE-2024-30103), Pilote Wi-Fi Windows (CVE-2024-30078), et de nombreuses failles d’élévation de privilèges dans le sous-système du noyau Windows Win32 (CVE-2024-30086), Pilote de mini-filtre Windows Cloud Files (CVE-2024-30085) et Win32k (CVE-2024-30082), entre autres.
La société de cybersécurité Morphisec, qui a découvert CVE-2024-30103, a déclaré que la faille pourrait être utilisée pour déclencher l’exécution de code sans obliger les utilisateurs à cliquer ou à interagir avec le contenu de l’e-mail.
“Ce manque d’interaction utilisateur requise, combiné à la nature simple de l’exploit, augmente la probabilité que des adversaires exploitent cette vulnérabilité pour un accès initial”, a déclaré le chercheur en sécurité Michael Gorelik. dit.
“Une fois qu’un attaquant réussit à exploiter cette vulnérabilité, il peut exécuter du code arbitraire avec les mêmes privilèges que l’utilisateur, ce qui pourrait potentiellement conduire à une compromission complète du système.”
Correctifs logiciels d’autres fournisseurs
Outre Microsoft, des mises à jour de sécurité ont également été publiées par d’autres fournisseurs au cours des dernières semaines pour corriger plusieurs vulnérabilités, notamment :