Édition du Patch Tuesday d'octobre 2023

Microsoft publié aujourd'hui des mises à jour de sécurité pour plus de 100 vulnérabilités nouvellement découvertes dans son Fenêtres système d'exploitation et logiciels associés, dont quatre failles déjà exploitées. En outre, Pomme mises à jour d'urgence récemment publiées pour annuler une paire de bogues zero-day dans iOS.

Apple expédié la semaine dernière mises à jour d'urgence dans iOS 17.0.3 est arrivé et Mise à jour 17.0.3 en réponse à des attaques actives. Les correctifs de patch Numéro de série: CVE-2023-42724, que les attaquants ont utilisé dans des attaques ciblées pour élever leur accès sur un appareil local.

Apple a déclaré qu'il avait également corrigé Numéro CVE-2023-5217, qui n'est pas répertorié comme un bogue zero-day. Cependant, comme Ordinateur de Veille souligné, cette faille est causée par une faiblesse de l'open-source “libvpx et"bibliothèque de codecs vidéo, qui était auparavant corrigée en tant que faille zero-day par Google Plus dans le navigateur Chrome et par Microsoft dans Bord, Équipes, et Skype produits. Pour quiconque tient le compte, c'est la 17e faille zero-day qu'Apple a corrigée jusqu'à présent cette année.

Heureusement, les jours zéro affectant les clients Microsoft ce mois-ci sont un peu moins sévères que d'habitude, à l'exception de Numéro de série: CVE-2023-44487. Cette faiblesse n'est pas spécifique à Windows mais existe plutôt dans le Protocole HTTP/ 2 utilisé par le World Wide Web: Les attaquants ont compris comment utiliser une fonctionnalité de HTTP/2 pour augmenter massivement la taille des attaques par déni de service distribué (DDoS), et ces attaques monstres se poursuivraient depuis plusieurs semaines maintenant.

Amazone, Le Cloudflare et Google Plus tous ont publié aujourd'hui des avis sur la manière dont ils traitent CVE-2023-44487 dans leurs environnements cloud. De Google Damien Homme a écrit sur Twitter/ X que l'exploit-surnommé un “attaque de réinitialisation rapide"- fonctionne en envoyant une requête puis en l'annulant immédiatement (une fonctionnalité de HTTP/ 2). ” Cela permet aux attaquants d'éviter d'attendre des réponses, ce qui se traduit par une attaque plus efficace", a expliqué Menscher.

Nathalie Silva, ingénieur en chef de la sécurité chez Laboratoires Immersifs, a déclaré que l'impact de cette faille sur les entreprises clientes pourrait être important et entraîner des temps d'arrêt prolongés.

” Il est crucial pour les organisations d'appliquer les derniers correctifs et mises à jour de leurs fournisseurs de serveurs Web pour atténuer cette vulnérabilité et se protéger contre de telles attaques", a déclaré Silva. Dans la version Patch Tuesday de ce mois-ci de Microsoft, ils ont publié à la fois une mise à jour de cette vulnérabilité, ainsi qu'une solution de contournement temporaire au cas où vous ne seriez pas en mesure de corriger immédiatement.”

Microsoft a également corrigé des bogues zero-day dans Skype Entreprise (Numéro de série: CVE-2023-41763) et Wordpad (Numéro de série: CVE-2023-36563). Cette dernière vulnérabilité pourrait exposer Hachages NTLM, qui sont utilisés pour l'authentification dans les environnements Windows.

“Ce n'est peut-être pas une coïncidence si Microsoft a annoncé le mois dernier que WordPad n'était plus mis à jour et qu'il serait supprimé dans une future version de Windows, bien qu'aucun calendrier précis n'ait encore été donné”, a déclaré Adam Barnett a écrit:, ingénieur logiciel principal chez Rapide7. "Sans surprise, Microsoft recommande Word en remplacement de WordPad.”

D'autres bogues notables résolus par Microsoft incluent Numéro de série: CVE-2023-35349, une faiblesse d'exécution de code à distance dans le File d'attente des Messages Service (MSMQ), une technologie qui permet aux applications sur plusieurs serveurs ou hôtes de communiquer entre elles. Cette vulnérabilité a gagné un Score de gravité CVSS de 9,8 (10 est le pire possible). Heureusement, le service MSMQ n'est pas activé par défaut dans Windows, bien qu'Immersive Labs note que Serveur Microsoft Exchange peut activer ce service lors de l'installation.

En parlant d'échange, Microsoft a également corrigé Numéro de série: CVE-2023-36778, une vulnérabilité dans toutes les versions actuelles d'Exchange Server qui pourrait permettre aux attaquants d'exécuter le code de leur choix. Barnett de Rapid7 a déclaré qu'une exploitation réussie nécessite que l'attaquant se trouve sur le même réseau que l'hôte du serveur Exchange et utilise des informations d'identification valides pour un utilisateur Exchange dans une session PowerShell.

Pour une ventilation plus détaillée des mises à jour publiées aujourd'hui, consultez le Tour d'horizon du Centre de tempête SANS Internet. Si les mises à jour d'aujourd'hui entraînent des problèmes de stabilité ou d'utilisabilité dans Windows, AskWoody.com aura probablement la vérité à ce sujet.

Veuillez envisager de sauvegarder vos données et/ ou d'imager votre système avant d'appliquer des mises à jour. Et n'hésitez pas à vous exprimer dans les commentaires si vous rencontrez des difficultés à la suite de ces correctifs.