Microsoft a publi\u00e9 mardi mises \u00e0 jour de s\u00e9curit\u00e9<\/a> pour corriger 75 failles couvrant son portefeuille de produits, dont trois ont fait l’objet d’une exploitation active dans la nature.<\/p>\n Les mises \u00e0 jour viennent s’ajouter aux 22 failles du constructeur Windows patch\u00e9<\/a> dans son navigateur Edge bas\u00e9 sur Chromium au cours du mois dernier.<\/p>\n Sur les 75 vuln\u00e9rabilit\u00e9s, neuf sont class\u00e9es critiques et 66 sont class\u00e9es importantes en termes de gravit\u00e9. 37 bogues sur 75 sont class\u00e9s comme des d\u00e9fauts d’ex\u00e9cution de code \u00e0 distance (RCE). Les trois jours z\u00e9ro de note qui ont \u00e9t\u00e9 exploit\u00e9s sont les suivants –<\/p>\n “L’attaque elle-m\u00eame est effectu\u00e9e localement par un utilisateur avec une authentification sur le syst\u00e8me cibl\u00e9”, a d\u00e9clar\u00e9 Microsoft dans l’avis CVE-2023-21715.<\/p>\n “Un attaquant authentifi\u00e9 pourrait exploiter la vuln\u00e9rabilit\u00e9 en convainquant une victime, par ing\u00e9nierie sociale, de t\u00e9l\u00e9charger et d’ouvrir un fichier sp\u00e9cialement con\u00e7u \u00e0 partir d’un site Web, ce qui pourrait conduire \u00e0 une attaque locale sur l’ordinateur de la victime.”<\/p>\n L’exploitation r\u00e9ussie des failles ci-dessus pourrait permettre \u00e0 un adversaire de contourner les strat\u00e9gies de macro Office utilis\u00e9es pour bloquer les fichiers non fiables ou malveillants ou d’obtenir des privil\u00e8ges SYSTEM.<\/p>\n CVE-2023-23376 est \u00e9galement la troisi\u00e8me faille zero-day activement exploit\u00e9e dans le composant CLFS apr\u00e8s CVE-2022-24521 et CVE-2022-37969 (scores CVSS\u00a0: 7,8), qui ont \u00e9t\u00e9 corrig\u00e9es par Microsoft en avril et septembre 2022.<\/p>\n “Le pilote Windows Common Log File System est un composant du syst\u00e8me d’exploitation Windows qui g\u00e8re et maintient un syst\u00e8me de fichiers journaux hautes performances bas\u00e9 sur les transactions”, a d\u00e9clar\u00e9 Nikolas Cemerikic d’Immersive Labs.<\/p>\n “Il s’agit d’un composant essentiel du syst\u00e8me d’exploitation Windows, et toute vuln\u00e9rabilit\u00e9 de ce pilote pourrait avoir des implications importantes pour la s\u00e9curit\u00e9 et la fiabilit\u00e9 du syst\u00e8me.”<\/p>\n Il convient de noter que Microsoft OneNote pour Android est vuln\u00e9rable \u00e0 CVE-2023-21823, et avec le service de prise de notes \u00e9mergeant de plus en plus comme un canal pour diffuser des logiciels malveillants, il est crucial que les utilisateurs appliquent les correctifs.<\/p>\n Microsoft traite \u00e9galement plusieurs d\u00e9fauts RCE dans Exchange Server, le pilote ODBC, le pilote d’imprimante PostScript et SQL Server, ainsi que les probl\u00e8mes de d\u00e9ni de service (DoS) affectant le service Windows iSCSI et Windows Secure Channel.<\/p>\n Trois des failles d’Exchange Server sont class\u00e9es par la soci\u00e9t\u00e9 dans la cat\u00e9gorie “Exploitation plus probable”, bien qu’une exploitation r\u00e9ussie n\u00e9cessite que l’attaquant soit d\u00e9j\u00e0 authentifi\u00e9.<\/p>\n\n