Microsoft a r\u00e9solu un total de 48 failles de s\u00e9curit\u00e9<\/a> couvrant son logiciel dans le cadre de ses mises \u00e0 jour du Patch Tuesday de janvier 2024.<\/p>\n Sur les 48 bogues, deux sont class\u00e9s critiques et 46 sont class\u00e9s importants en termes de gravit\u00e9. Il n’y a aucune preuve que l’un des probl\u00e8mes soit publiquement connu ou fasse l’objet d’une attaque active au moment de la sortie, ce qui en fait le deuxi\u00e8me Patch Tuesday cons\u00e9cutif sans z\u00e9ro jour.<\/p>\n Les correctifs s’ajoutent \u00e0 neuf failles de s\u00e9curit\u00e9<\/a> qui ont \u00e9t\u00e9 r\u00e9solus dans le navigateur Edge bas\u00e9 sur Chromium depuis la publication des mises \u00e0 jour du Patch Tuesday de d\u00e9cembre 2023. Cela inclut \u00e9galement un correctif pour un zero-day (CVE-2023-7024, score CVSS : 8,8) qui, selon Google, a \u00e9t\u00e9 activement exploit\u00e9 dans la nature.<\/p>\n Les failles les plus critiques corrig\u00e9es ce mois-ci sont les suivantes\u00a0:<\/p>\n “La fonctionnalit\u00e9 d’authentification pourrait \u00eatre contourn\u00e9e car cette vuln\u00e9rabilit\u00e9 permet l’usurpation d’identit\u00e9”, a d\u00e9clar\u00e9 Microsoft dans un avis concernant CVE-2024-20674.<\/p>\n “Un attaquant authentifi\u00e9 pourrait exploiter cette vuln\u00e9rabilit\u00e9 en \u00e9tablissant une attaque de machine au milieu (MitM) ou une autre technique d’usurpation d’identit\u00e9 du r\u00e9seau local, puis en envoyant un message Kerberos malveillant \u00e0 la machine client victime pour se faire passer pour le serveur d’authentification Kerberos.”<\/p>\n Cependant, la soci\u00e9t\u00e9 a not\u00e9 qu\u2019une exploitation r\u00e9ussie n\u00e9cessite qu\u2019un attaquant acc\u00e8de d\u2019abord au r\u00e9seau restreint. Chercheur en s\u00e9curit\u00e9 ldwilmore34<\/a> a \u00e9t\u00e9 cr\u00e9dit\u00e9 de la d\u00e9couverte et du signalement de la faille.<\/p>\n CVE-2024-20700, en revanche, ne n\u00e9cessite ni authentification ni interaction de l’utilisateur pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance, bien que gagner une condition de concurrence critique soit une condition pr\u00e9alable \u00e0 l’organisation d’une attaque.<\/p>\n “Il n’est pas clair exactement o\u00f9 l’attaquant doit se trouver – le r\u00e9seau local sur lequel r\u00e9side l’hyperviseur, ou un r\u00e9seau virtuel cr\u00e9\u00e9 et g\u00e9r\u00e9 par l’hyperviseur – ni dans quel contexte l’ex\u00e9cution du code \u00e0 distance aurait lieu”, Adam Barnett, responsable des logiciels. ing\u00e9nieur chez Rapid7, a d\u00e9clar\u00e9 \u00e0 The Hacker News.<\/p>\n D’autres d\u00e9fauts notables incluent CVE-2024-20653<\/a> (score CVSS : 7,8), une faille d’\u00e9l\u00e9vation de privil\u00e8ges impactant le pilote Common Log File System (CLFS), et CVE-2024-0056<\/a> (score CVSS : 8,7), un contournement de s\u00e9curit\u00e9 affectant System.Data.SqlClient et Microsoft.Data.SqlClient.<\/p>\n “Un attaquant qui parviendrait \u00e0 exploiter cette vuln\u00e9rabilit\u00e9 pourrait mener une attaque de type machine-in-the-middle (MitM) et pourrait d\u00e9crypter et lire ou modifier le trafic TLS entre le client et le serveur”, a d\u00e9clar\u00e9 Redmond.<\/p>\n Microsoft a en outre indiqu\u00e9 qu’il d\u00e9sactivait par d\u00e9faut la possibilit\u00e9 d’ins\u00e9rer des fichiers FBX dans Word, Excel, PowerPoint et Outlook sous Windows en raison d’une faille de s\u00e9curit\u00e9 (CVE-2024-20677<\/a>score CVSS : 7,8) pouvant conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance.<\/p>\n “Les mod\u00e8les 3D dans les documents Office pr\u00e9c\u00e9demment ins\u00e9r\u00e9s \u00e0 partir d’un fichier FBX continueront \u00e0 fonctionner comme pr\u00e9vu \u00e0 moins que l’option ‘Lien vers le fichier’ n’ait \u00e9t\u00e9 choisie au moment de l’insertion”, a d\u00e9clar\u00e9 Microsoft dans un communiqu\u00e9. alerte s\u00e9par\u00e9e<\/a>. “GLB (Binary GL Transmission Format) est le format de fichier 3D de remplacement recommand\u00e9 pour une utilisation dans Office.”<\/p>\n Il convient de noter que Microsoft a pris une mesure similaire en d\u00e9sactivant le format de fichier SketchUp (SKP) dans Office apr\u00e8s D\u00e9couverte par ZScaler de 117 failles de s\u00e9curit\u00e9<\/a> dans les applications Microsoft 365.<\/p>\n Outre Microsoft, des mises \u00e0 jour de s\u00e9curit\u00e9 ont \u00e9galement \u00e9t\u00e9 publi\u00e9es par d’autres fournisseurs au cours des derni\u00e8res semaines pour corriger plusieurs vuln\u00e9rabilit\u00e9s, notamment\u00a0:<\/p>\n <\/p>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/La-mise-a-jour-Windows-de-Microsoft-de-janvier-2024.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\nCorrectifs logiciels d’autres fournisseurs<\/h3>\n