La mise \u00e0 jour Patch Tuesday de Microsoft pour le mois d’octobre a r\u00e9solu un total de 85 failles de s\u00e9curit\u00e9<\/a>y compris des correctifs pour une faille zero-day activement exploit\u00e9e dans la nature.<\/p>\n Sur les 85 bogues, 15 sont class\u00e9s critiques, 69 sont class\u00e9s importants et un est class\u00e9 mod\u00e9r\u00e9 en gravit\u00e9. La mise \u00e0 jour, cependant, n’inclut pas d’att\u00e9nuations pour le activement exploit\u00e9<\/a> Les failles de ProxyNotShell dans Serveur d’\u00e9change<\/a>.<\/p>\n La correctifs<\/a> venir \u00e0 c\u00f4t\u00e9 mises \u00e0 jour pour r\u00e9soudre 12 autres d\u00e9fauts<\/a> dans le navigateur Edge bas\u00e9 sur Chromium qui sont sortis depuis le d\u00e9but du mois.<\/p>\n En t\u00eate de liste des correctifs de ce mois-ci se trouve CVE-2022-41033<\/a> (score CVSS\u00a0: 7,8), une vuln\u00e9rabilit\u00e9 d’escalade de privil\u00e8ges dans le service de syst\u00e8me d’\u00e9v\u00e9nements Windows COM+. Un chercheur anonyme a \u00e9t\u00e9 cr\u00e9dit\u00e9 d’avoir signal\u00e9 le probl\u00e8me.<\/p>\n “Un attaquant qui parviendrait \u00e0 exploiter cette vuln\u00e9rabilit\u00e9 pourrait obtenir des privil\u00e8ges SYSTEM”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 dans un avis, avertissant que la lacune est activement militaris\u00e9e dans des attaques r\u00e9elles.<\/p>\n La nature de la faille signifie \u00e9galement que le probl\u00e8me est probablement li\u00e9 \u00e0 d’autres failles pour \u00e9lever les privil\u00e8ges et effectuer des actions malveillantes sur l’h\u00f4te infect\u00e9.<\/p>\n “Cette vuln\u00e9rabilit\u00e9 sp\u00e9cifique est une \u00e9l\u00e9vation de privil\u00e8ges locale, ce qui signifie qu’un attaquant aurait d\u00e9j\u00e0 besoin d’ex\u00e9cuter du code sur un h\u00f4te pour utiliser cet exploit”, a d\u00e9clar\u00e9 Kev Breen, directeur de la recherche sur les cybermenaces chez Immersive Labs.<\/p>\n Trois autres vuln\u00e9rabilit\u00e9s d’\u00e9l\u00e9vation des privil\u00e8ges sont li\u00e9es \u00e0 Windows Hyper-V (CVE-2022-37979<\/a>score CVSS : 7,8), services de certificats Active Directory (CVE-2022-37976<\/a>score CVSS : 8,8) et le cluster Kubernetes compatible avec Azure Arc Connect (CVE-2022-37968<\/a>score CVSS : 10,0).<\/p>\n Malgr\u00e9 la balise “Exploitation Less Likely” pour CVE-2022-37968, Microsoft a not\u00e9 qu’une exploitation r\u00e9ussie de la faille pourrait permettre \u00e0 un “utilisateur non authentifi\u00e9 d’\u00e9lever ses privil\u00e8ges en tant qu’administrateurs de cluster et potentiellement de prendre le contr\u00f4le du cluster Kubernetes”.<\/p>\n Autre part, CVE-2022-41043<\/a> (score CVSS\u00a0: 3,3) – une vuln\u00e9rabilit\u00e9 de divulgation d’informations dans Microsoft Office – est r\u00e9pertori\u00e9e comme publiquement connue au moment de sa publication. Il pourrait \u00eatre exploit\u00e9 pour divulguer des jetons d’utilisateur et d’autres informations potentiellement sensibles, a d\u00e9clar\u00e9 Microsoft.<\/p>\n Redmond a \u00e9galement corrig\u00e9 huit failles d’\u00e9l\u00e9vation de privil\u00e8ges dans le noyau Windows, 11 bogues d’ex\u00e9cution de code \u00e0 distance dans Windows Point-to-Point Tunneling Protocol et SharePoint Server, et encore une autre vuln\u00e9rabilit\u00e9 d’\u00e9l\u00e9vation de privil\u00e8ges dans le module Print Spooler (CVE-2022-38028<\/a>score CVSS : 7,8).<\/p>\n Enfin, la mise \u00e0 jour Patch Tuesday corrige en outre deux autres failles d’escalade de privil\u00e8ges dans Windows Workstation Service (CVE-2022-38034<\/a>score CVSS : 4.3) et Server Service Remote Protocol (CVE-2022-38045<\/a>score CVSS : 8,8).<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Web Akamai, qui a d\u00e9couvert les deux lacunes, a dit<\/a> ils “profitent d’un d\u00e9faut de conception qui permet de contourner [Microsoft Remote Procedure Call<\/a>] S\u00e9curit\u00e9 rappels<\/a> gr\u00e2ce \u00e0 la mise en cache.”<\/p>\n En plus de Microsoft, des mises \u00e0 jour de s\u00e9curit\u00e9 ont \u00e9galement \u00e9t\u00e9 publi\u00e9es par plusieurs fournisseurs pour corriger des dizaines de vuln\u00e9rabilit\u00e9s, notamment \u2014<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\nCorrectifs logiciels d’autres fournisseurs<\/h3>\n