Microsoft a publi\u00e9 des correctifs pour r\u00e9soudre 63 bugs de s\u00e9curit\u00e9<\/a> dans son logiciel pour le mois de novembre 2023, dont trois vuln\u00e9rabilit\u00e9s qui ont \u00e9t\u00e9 activement exploit\u00e9es dans la nature.<\/p>\n Sur les 63 failles, trois sont class\u00e9es critiques, 56 sont class\u00e9es importantes et quatre sont class\u00e9es de gravit\u00e9 mod\u00e9r\u00e9e. Deux d\u2019entre eux \u00e9taient r\u00e9pertori\u00e9s comme \u00e9tant publiquement connus au moment de la publication.<\/p>\n Les mises \u00e0 jour s’ajoutent \u00e0 plus de 35 failles de s\u00e9curit\u00e9<\/a> abord\u00e9 dans son navigateur Edge bas\u00e9 sur Chromium depuis la sortie des mises \u00e0 jour du Patch Tuesday d\u2019octobre 2023.<\/p>\n Les cinq jours z\u00e9ro \u00e0 noter sont les suivants\u00a0:<\/p>\n CVE-2023-36033 et CVE-2023-36036 pourraient \u00eatre exploit\u00e9s par un attaquant pour obtenir les privil\u00e8ges SYST\u00c8ME, tandis que CVE-2023-36025 pourrait permettre de contourner les contr\u00f4les Windows Defender SmartScreen et leurs invites associ\u00e9es.<\/p>\n “L’utilisateur devra cliquer sur un raccourci Internet sp\u00e9cialement con\u00e7u (.URL) ou sur un lien hypertexte pointant vers un fichier de raccourci Internet pour \u00eatre compromis par l’attaquant”, a d\u00e9clar\u00e9 Microsoft \u00e0 propos de CVE-2023-36025.<\/p>\n CVE-2023-36025 est la troisi\u00e8me vuln\u00e9rabilit\u00e9 zero-day de Windows SmartScreen exploit\u00e9e \u00e0 l’\u00e9tat sauvage en 2023 et la quatri\u00e8me au cours des deux derni\u00e8res ann\u00e9es. En d\u00e9cembre 2022, Microsoft a corrig\u00e9 CVE-2022-44698 (score CVSS : 5,4), tandis que CVE-2023-24880 (score CVSS : 5,1) a \u00e9t\u00e9 corrig\u00e9 en mars et CVE-2023-32049 (score CVSS : 8,8) a \u00e9t\u00e9 corrig\u00e9 en juillet. .<\/p>\n Le fabricant de Windows n\u2019a cependant fourni aucune indication suppl\u00e9mentaire sur les m\u00e9canismes d\u2019attaque utilis\u00e9s et sur les acteurs malveillants qui pourraient les utiliser comme arme. Mais l\u2019exploitation active des failles d\u2019\u00e9l\u00e9vation de privil\u00e8ges sugg\u00e8re qu\u2019elles sont probablement utilis\u00e9es conjointement avec un bug d\u2019ex\u00e9cution de code \u00e0 distance. <\/p>\n “Il y a eu 12 \u00e9l\u00e9vations de vuln\u00e9rabilit\u00e9s de privil\u00e8ges dans la biblioth\u00e8que principale DWM au cours des deux derni\u00e8res ann\u00e9es, bien que ce soit la premi\u00e8re \u00e0 avoir \u00e9t\u00e9 exploit\u00e9e en tant que jour z\u00e9ro”, a d\u00e9clar\u00e9 Satnam Narang, ing\u00e9nieur de recherche senior chez Tenable. dans une d\u00e9claration partag\u00e9e avec The Hacker News.<\/p>\n Cette \u00e9volution a incit\u00e9 l\u2019Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) \u00e0 ajouter<\/a> les trois probl\u00e8mes de son catalogue de vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV), exhortant les agences f\u00e9d\u00e9rales \u00e0 appliquer les correctifs d’ici le 5 d\u00e9cembre 2023.<\/p>\n Microsoft a \u00e9galement corrig\u00e9 deux failles critiques d’ex\u00e9cution de code \u00e0 distance dans Protected Extensible Authentication Protocol et Pragmatic General Multicast (CVE-2023-36028<\/a> et CVE-2023-36397<\/a>scores CVSS : 9,8) qu’un acteur malveillant pourrait exploiter pour d\u00e9clencher l’ex\u00e9cution d’un code malveillant.<\/p>\n La mise \u00e0 jour de novembre inclut en outre un correctif pour CVE-2023-38545 (score CVSS : 9,8), un d\u00e9faut de d\u00e9passement de tampon bas\u00e9 sur le tas<\/a> dans la biblioth\u00e8que curl r\u00e9v\u00e9l\u00e9e le mois dernier, ainsi qu’une vuln\u00e9rabilit\u00e9 de divulgation d’informations dans Azure CLI (CVE-2023-36052<\/a>score CVSS : 8,6).<\/p>\n “Un attaquant qui parviendrait \u00e0 exploiter cette vuln\u00e9rabilit\u00e9 pourrait r\u00e9cup\u00e9rer les mots de passe et les noms d’utilisateur en clair \u00e0 partir des fichiers journaux cr\u00e9\u00e9s par les commandes CLI concern\u00e9es et publi\u00e9s par Azure DevOps et\/ou GitHub Actions”, a d\u00e9clar\u00e9 Microsoft.<\/p>\n Aviad Hahami, chercheur \u00e0 Palo Alto Networks, qui a signal\u00e9 le probl\u00e8me\u00a0: dit<\/a> la vuln\u00e9rabilit\u00e9 pourrait permettre l’acc\u00e8s aux informations d’identification stock\u00e9es dans le journal du pipeline et permettre \u00e0 un adversaire d’augmenter potentiellement ses privil\u00e8ges pour des attaques ult\u00e9rieures.<\/p>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Alerte-Microsoft-publie-des-mises-a-jour-de-correctifs-pour.jpg\")
<\/a><\/center><\/div>\n