Le g\u00e9ant de la technologie Microsoft a livr\u00e9 mardi des correctifs pour annuler 64 nouvelles failles de s\u00e9curit\u00e9<\/a> dans toute sa gamme de logiciels, y compris une faille zero-day qui a \u00e9t\u00e9 activement exploit\u00e9e dans des attaques r\u00e9elles.<\/p>\n Sur les 64 bogues, cinq sont class\u00e9s critiques, 57 sont class\u00e9s importants, un est class\u00e9 mod\u00e9r\u00e9 et un est class\u00e9 faible en gravit\u00e9. Les patchs s’ajoutent \u00e0 16 vuln\u00e9rabilit\u00e9s<\/a> que Microsoft a abord\u00e9 dans son navigateur Edge bas\u00e9 sur Chromium plus t\u00f4t ce mois-ci.<\/p>\n “En termes de CVE publi\u00e9s, ce Patch Tuesday peut appara\u00eetre plus l\u00e9ger par rapport aux autres mois”, a d\u00e9clar\u00e9 Bharat Jogi, directeur de la recherche sur les vuln\u00e9rabilit\u00e9s et les menaces chez Qualys, dans un communiqu\u00e9 partag\u00e9 avec The Hacker News.<\/p>\n “Cependant, ce mois-ci a franchi une \u00e9tape importante pour l’ann\u00e9e civile, MSFT ayant fix\u00e9 le 1000e CVE de 2022 – probablement en voie de d\u00e9passer 2021 qui a corrig\u00e9 1 200 CVE au total.”<\/p>\n La vuln\u00e9rabilit\u00e9 activement exploit\u00e9e en question est CVE-2022-37969<\/a> (score CVSS\u00a0: 7,8), une faille d’\u00e9l\u00e9vation de privil\u00e8ges affectant le syst\u00e8me de fichiers journaux Windows Common (CLFS<\/a>) Driver, qui pourrait \u00eatre exploit\u00e9 par un adversaire pour obtenir des privil\u00e8ges SYSTEM sur un actif d\u00e9j\u00e0 compromis.<\/p>\n “Un attaquant doit d\u00e9j\u00e0 avoir acc\u00e8s et la capacit\u00e9 d’ex\u00e9cuter du code sur le syst\u00e8me cible. Cette technique ne permet pas l’ex\u00e9cution de code \u00e0 distance dans les cas o\u00f9 l’attaquant n’a pas d\u00e9j\u00e0 cette capacit\u00e9 sur le syst\u00e8me cible”, a d\u00e9clar\u00e9 Microsoft dans un avis.<\/p>\n Le g\u00e9ant de la technologie a cr\u00e9dit\u00e9 quatre groupes diff\u00e9rents de chercheurs de CrowdStrike, DBAPPSecurity, Mandiant et Zscaler pour avoir signal\u00e9 la faille, ce qui peut \u00eatre une indication d’une exploitation g\u00e9n\u00e9ralis\u00e9e dans la nature, a d\u00e9clar\u00e9 Greg Wiseman, chef de produit chez Rapid7, dans un communiqu\u00e9.<\/p>\n CVE-2022-37969 est \u00e9galement la deuxi\u00e8me faille zero-day activement exploit\u00e9e dans le composant CLFS apr\u00e8s CVE-2022-24521 (score CVSS\u00a0: 7,8), cette derni\u00e8re ayant \u00e9t\u00e9 r\u00e9solue par Microsoft dans le cadre de ses mises \u00e0 jour d’avril 2022.<\/p>\n Il n’est pas imm\u00e9diatement clair si CVE-2022-37969 est un contournement de correctif pour CVE-2022-24521. Les autres d\u00e9fauts critiques \u00e0 noter sont les suivants –<\/p>\n “Un attaquant non authentifi\u00e9 pourrait envoyer un paquet IP sp\u00e9cialement con\u00e7u \u00e0 une machine cible ex\u00e9cutant Windows et sur laquelle IPSec est activ\u00e9, ce qui pourrait permettre une exploitation de l’ex\u00e9cution de code \u00e0 distance”, a d\u00e9clar\u00e9 Microsoft \u00e0 propos de CVE-2022-34721 et CVE-2022-34722.<\/p>\n Microsoft a \u00e9galement r\u00e9solu 15 failles d’ex\u00e9cution de code \u00e0 distance dans Pilote Microsoft ODBC<\/a>fournisseur Microsoft OLE DB pour SQL Server et Microsoft SharePoint Server et cinq bogues d’escalade de privil\u00e8ges couvrant Windows Kerberos et le noyau Windows.<\/p>\n La version de septembre est en outre remarquable pour avoir corrig\u00e9 une autre vuln\u00e9rabilit\u00e9 d’\u00e9l\u00e9vation des privil\u00e8ges dans le module Print Spooler (CVE-2022-38005, score CVSS\u00a0: 7,8) qui pourrait \u00eatre utilis\u00e9e de mani\u00e8re abusive pour obtenir des autorisations au niveau du SYST\u00c8ME. <\/p>\n Enfin, la s\u00e9rie de mises \u00e0 jour de s\u00e9curit\u00e9 comprend un correctif publi\u00e9 par le fabricant de puces Arm pour une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution sp\u00e9culative appel\u00e9e Branch History Injection ou Spectre-BHB<\/a> (CVE-2022-23960) qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 plus t\u00f4t en mars.<\/p>\n “Cette classe de vuln\u00e9rabilit\u00e9s pose un gros casse-t\u00eate aux organisations qui tentent de les att\u00e9nuer, car elles n\u00e9cessitent souvent des mises \u00e0 jour des syst\u00e8mes d’exploitation, des micrologiciels et, dans certains cas, une recompilation des applications et un renforcement”, a d\u00e9clar\u00e9 Jogi. “Si un attaquant r\u00e9ussit \u00e0 exploiter ce type de vuln\u00e9rabilit\u00e9, il pourrait acc\u00e9der \u00e0 des informations sensibles.”<\/p>\n Outre Microsoft, des mises \u00e0 jour de s\u00e9curit\u00e9 ont \u00e9galement \u00e9t\u00e9 publi\u00e9es par d’autres fournisseurs depuis le d\u00e9but du mois pour corriger des dizaines de vuln\u00e9rabilit\u00e9s, notamment –<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/Plus-de-280-000-sites-WordPress-attaques-a-laide-de.png\")
<\/a><\/div>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\nCorrectifs logiciels d’autres fournisseurs<\/h3>\n