Les premiers correctifs Patch Tuesday exp\u00e9di\u00e9s par Microsoft pour 2023 ont r\u00e9solu un total de 98 failles de s\u00e9curit\u00e9<\/a>y compris un bogue qui, selon la soci\u00e9t\u00e9, est activement exploit\u00e9 dans la nature.<\/p>\n 11 des 98 probl\u00e8mes sont class\u00e9s critiques et 87 sont class\u00e9s importants en termes de gravit\u00e9, l’une des vuln\u00e9rabilit\u00e9s \u00e9tant \u00e9galement r\u00e9pertori\u00e9e comme publiquement connue au moment de la publication. Par ailleurs, le fabricant de Windows devrait publier des mises \u00e0 jour pour son navigateur Edge bas\u00e9 sur Chromium. <\/p>\n La vuln\u00e9rabilit\u00e9 attaqu\u00e9e concerne CVE-2023-21674<\/a> (score CVSS\u00a0: 8,8), une faille d’\u00e9l\u00e9vation de privil\u00e8ges dans l’appel de proc\u00e9dure locale avanc\u00e9e de Windows (ALPC<\/a>) qui pourraient \u00eatre exploit\u00e9es par un attaquant afin d’obtenir les permissions SYSTEM.<\/p>\n “Cette vuln\u00e9rabilit\u00e9 pourrait conduire \u00e0 une fuite du bac \u00e0 sable du navigateur”, a not\u00e9 Microsoft dans un avis, remerciant les chercheurs d’Avast Jan Vojt\u011b\u0161ek, Mil\u00e1nek et Przemek Gmerek d’avoir signal\u00e9 le bogue.<\/p>\n Alors que les d\u00e9tails de la vuln\u00e9rabilit\u00e9 sont encore secrets, un exploit r\u00e9ussi n\u00e9cessite qu’un attaquant ait d\u00e9j\u00e0 obtenu une infection initiale sur l’h\u00f4te. Il est \u00e9galement probable que la faille soit combin\u00e9e \u00e0 un bogue pr\u00e9sent dans le navigateur Web pour sortir du bac \u00e0 sable et obtenir des privil\u00e8ges \u00e9lev\u00e9s.<\/p>\n “Une fois le premier pas pris, les attaquants chercheront \u00e0 se d\u00e9placer sur un r\u00e9seau ou \u00e0 obtenir des niveaux d’acc\u00e8s plus \u00e9lev\u00e9s et ces types de vuln\u00e9rabilit\u00e9s d’escalade de privil\u00e8ges sont un \u00e9l\u00e9ment cl\u00e9 de ce manuel d’attaque”, Kev Breen, directeur de la recherche sur les cybermenaces chez Laboratoires immersifs, a d\u00e9clar\u00e9.<\/p>\n Cela dit, les chances qu’une cha\u00eene d’exploitation comme celle-ci soit utilis\u00e9e \u00e0 grande \u00e9chelle sont limit\u00e9es en raison de la fonction de mise \u00e0 jour automatique utilis\u00e9e pour corriger les navigateurs, a d\u00e9clar\u00e9 Satnam Narang, ing\u00e9nieur de recherche senior chez Tenable.<\/p>\n Il convient \u00e9galement de noter que la Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a ajout\u00e9e<\/a> la vuln\u00e9rabilit\u00e9 \u00e0 ses Vuln\u00e9rabilit\u00e9s Exploit\u00e9es Connues (KEV<\/a>) catalogue, exhortant les agences f\u00e9d\u00e9rales \u00e0 appliquer les correctifs d’ici le 31 janvier 2023.<\/p>\n De plus, CVE-2023-21674 est la quatri\u00e8me faille de ce type identifi\u00e9e dans ALPC – une fonctionnalit\u00e9 de communication inter-processus (IPC) fournie par le noyau Microsoft Windows – apr\u00e8s CVE-2022-41045<\/a>, CVE-2022-41093<\/a>et CVE-2022-41100<\/a> (scores CVSS : 7,8), dont les trois derniers ont \u00e9t\u00e9 bouch\u00e9s en novembre 2022.<\/p>\n Deux autres vuln\u00e9rabilit\u00e9s d’\u00e9l\u00e9vation de privil\u00e8ges identifi\u00e9es comme hautement prioritaires affectent Microsoft Exchange Server (CVE-2023-21763<\/a> et CVE-2023-21764<\/a>scores CVSS : 7,8), qui proviennent d’un correctif incomplet pour CVE-2022-41123, selon Qualys.<\/p>\n “Un attaquant pourrait ex\u00e9cuter du code avec des privil\u00e8ges de niveau SYSTEM en exploitant un chemin de fichier cod\u00e9 en dur”, a d\u00e9clar\u00e9 Saeed Abbasi, responsable de la recherche sur les vuln\u00e9rabilit\u00e9s et les menaces chez Qualys, dans un communiqu\u00e9.<\/p>\n Microsoft a \u00e9galement r\u00e9solu un contournement de fonctionnalit\u00e9 de s\u00e9curit\u00e9 dans SharePoint Server (CVE-2023-21743<\/a>, score CVSS\u00a0: 5,3) qui pourrait permettre \u00e0 un attaquant non authentifi\u00e9 de contourner l’authentification et d’\u00e9tablir une connexion anonyme. Le g\u00e9ant de la technologie a not\u00e9 que “les clients doivent \u00e9galement d\u00e9clencher une action de mise \u00e0 niveau SharePoint incluse dans cette mise \u00e0 jour pour prot\u00e9ger leur ferme SharePoint”.<\/p>\n La mise \u00e0 jour de janvier corrige en outre un certain nombre de failles d’escalade de privil\u00e8ges, dont une dans Windows Credential Manager (CVE-2023-21726<\/a>score CVSS : 7,8) et trois affectant le composant Print Spooler (CVE-2023-21678<\/a>, CVE-2023-21760<\/a>et CVE-2023-21765<\/a>).<\/p>\n L’agence am\u00e9ricaine de s\u00e9curit\u00e9 nationale (NSA) a \u00e9t\u00e9 cr\u00e9dit\u00e9e d’avoir signal\u00e9 CVE-2023-21678. Au total, 39 des vuln\u00e9rabilit\u00e9s que Microsoft a corrig\u00e9es dans sa derni\u00e8re mise \u00e0 jour permettent l’\u00e9l\u00e9vation des privil\u00e8ges.<\/p>\n Arrondir la liste est CVE-2023-21549<\/a> (score CVSS\u00a0: 8,8), une vuln\u00e9rabilit\u00e9 d’\u00e9l\u00e9vation des privil\u00e8ges connue du public dans le service Windows SMB Witness et une autre instance de contournement des fonctionnalit\u00e9s de s\u00e9curit\u00e9 affectant BitLocker (CVE-2023-21563<\/a>score CVSS : 6,8).<\/p>\n “Un attaquant r\u00e9ussi pourrait contourner la fonctionnalit\u00e9 BitLocker Device Encryption sur le p\u00e9riph\u00e9rique de stockage syst\u00e8me”, a d\u00e9clar\u00e9 Microsoft. “Un attaquant ayant un acc\u00e8s physique \u00e0 la cible pourrait exploiter cette vuln\u00e9rabilit\u00e9 pour acc\u00e9der aux donn\u00e9es crypt\u00e9es.”<\/p>\n Enfin, Redmond a r\u00e9vis\u00e9 ses directives<\/a> concernant l’utilisation malveillante de pilotes sign\u00e9s<\/a> (appel\u00e9 Bring Your Own Vulnerable Driver) pour inclure un liste de blocage mise \u00e0 jour<\/a> publi\u00e9 dans le cadre des mises \u00e0 jour de s\u00e9curit\u00e9 Windows du 10 janvier 2023.<\/p>\n La CISA a \u00e9galement ajout\u00e9 mardi CVE-2022-41080<\/a>une faille d’\u00e9l\u00e9vation des privil\u00e8ges d’Exchange Server, au catalogue KEV suite \u00e0 des rapports indiquant que la vuln\u00e9rabilit\u00e9 est encha\u00een\u00e9e CVE-2022-41082<\/a> pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance sur des syst\u00e8mes vuln\u00e9rables.<\/p>\n L’exploit, nomm\u00e9 OWASSRF par CrowdStrike, a \u00e9t\u00e9 exploit\u00e9 par les acteurs du ran\u00e7ongiciel Play pour violer les environnements cibles. Les d\u00e9fauts ont \u00e9t\u00e9 corrig\u00e9s par Microsoft en novembre 2022.<\/p>\n Les mises \u00e0 jour du Patch Tuesday arrivent \u00e9galement sous Windows 7, Windows 8.1 et Windows RT parvenu<\/a> fin de prise en charge<\/a> le 10 janvier 2023. Microsoft a d\u00e9clar\u00e9 qu’il n’offrirait pas de programme de mise \u00e0 jour de s\u00e9curit\u00e9 \u00e9tendue (ESU) pour Windows 8.1, exhortant plut\u00f4t les utilisateurs \u00e0 passer \u00e0 Windows 11.<\/p>\n “Continuer \u00e0 utiliser Windows 8.1 apr\u00e8s le 10 janvier 2023 peut augmenter l’exposition d’une organisation aux risques de s\u00e9curit\u00e9 ou avoir un impact sur sa capacit\u00e9 \u00e0 respecter les obligations de conformit\u00e9”, a d\u00e9clar\u00e9 l’entreprise. mis en garde<\/a>.<\/p>\n En plus de Microsoft, des mises \u00e0 jour de s\u00e9curit\u00e9 ont \u00e9galement \u00e9t\u00e9 publi\u00e9es par d’autres fournisseurs depuis le d\u00e9but du mois pour corriger plusieurs vuln\u00e9rabilit\u00e9s, notamment \u2014<\/p>\n <\/p>\nCorrectifs logiciels d’autres fournisseurs<\/h3>\n