Microsoft (et Apple) Patch Édition du mardi avril 2023

Microsoft a publié aujourd'hui des mises à jour logicielles pour combler 100 failles de sécurité dans son Windows systèmes d'exploitation et autres logiciels, y compris une vulnérabilité zero-day déjà utilisée dans des attaques actives. Ne pas être en reste, Pomme a publié un ensemble de mises à jour importantes abordant deux vulnérabilités zero-day utilisées pour attaquer iPhone, iPad et Mac.

Le 7 avril, Apple a publié des mises à jour de sécurité d'urgence pour corriger deux faiblesses qui sont activement exploitées, notamment Modèle: CVE-2023-28206, qui peut être exploitée par des applications pour prendre le contrôle d'un appareil. Numéro de série: CVE-2023-28205 peut être utilisé par un site Web malveillant ou piraté pour installer du code.

Les deux vulnérabilités sont traitées dans iOS/ iPadOS 16.4.1, iOS 15.5.7 et macOS 12.6.5 et 11.7.6. Si vous utilisez des appareils Apple et que les mises à jour automatiques ne sont pas activées (elles sont activées par défaut), vous devriez probablement vous en occuper dès que des instructions détaillées sur la façon d'attaquer CVE-2023-28206 sont maintenant publics.

La multitude de mises à jour de sécurité 100 de Microsoft publiées aujourd'hui comprend Numéro CVE-2023-28252, qui est une faiblesse de Windows qui, selon Redmond, est activement attaquée. La vulnérabilité est dans le Système de Fichiers du Système de Journaux Commun Windows Pilote (CLFS), un composant Windows de base qui était à l'origine de attaques ciblant une vulnérabilité zero-day différente en février 2023.

“Si cela vous semble familier, c'est parce qu'il y a eu un correctif 0-day similaire dans le même composant il y a à peine deux mois”, a déclaré Dustin Enfants à la Initiative Zéro Jour de Trend Micro. "Pour moi, cela implique que le correctif d'origine était insuffisant et que les attaquants ont trouvé une méthode pour contourner ce correctif. Comme en février, il n'y a aucune information sur l'ampleur de ces attaques. Ce type d'exploit est généralement associé à un bogue d'exécution de code pour propager des logiciels malveillants ou des ransomwares.”

Selon la firme de sécurité Qualys, cette vulnérabilité a été exploitée par les cybercriminels pour déployer Okoyawa ransomware.

“Il s'agit d'une souche relativement nouvelle pour laquelle il existe des informations open source suggérant qu'elle est peut – être liée au ransomware Hive-l'une des familles de ransomwares les plus notables de 2021 et liée aux violations de plus de 300 organisations en quelques mois seulement", a déclaré Jogi de Bharat, directeur de la recherche sur les vulnérabilités et les menaces chez Qualys.

Jogi a déclaré que même s'il n'est toujours pas clair quel acteur de la menace cible exactement CVE-2023-28252, des cibles ont été observées en Amérique du Sud et du Nord, dans des régions d'Asie et dans des organisations du Moyen-Orient.

Satnam Nérang à Tenable note que CVE-2023-28252 est également le deuxième jour zéro CLFS divulgué à Microsoft par des chercheurs de Mandiant et Sécurité des applications DB (Numéro de série: CVE-2022-37969), bien qu'il ne soit pas clair si ces deux découvertes sont liées au même attaquant.

Sept des 100 vulnérabilités corrigées aujourd'hui par Microsoft sont classées "critiques", ce qui signifie qu'elles peuvent être utilisées pour installer du code malveillant sans l'aide de l'utilisateur. Quatre-vingt-dix des failles ont valu à Redmond l'étiquette “Importante” un peu moins désastreuse, qui fait référence à des faiblesses qui peuvent être utilisées pour compromettre la sécurité du système mais qui peuvent nécessiter une certaine interaction de l'utilisateur.

Narang a déclaré que Microsoft a évalué près de 90% des vulnérabilités de ce mois-ci comme “Exploitation moins probable", tandis que seulement 9,3% des failles ont été évaluées comme “Exploitation Plus probable".” Kevin Breen à Laboratoires Immersifs concentré sur plusieurs défauts notables dans ces 9,3%, notamment Numéro CVE-2023-28231, une vulnérabilité d'exécution de code à distance dans un processus réseau Windows principal (DHCP) avec un score CVSS de 8,8.

""Exploitation plus probable" signifie qu'elle n'est pas activement exploitée, mais que des adversaires peuvent chercher à essayer d'en faire une arme”, a déclaré Breen. "Micorosft note que l'exploitation réussie nécessite qu'un attaquant ait déjà obtenu un accès initial au réseau. Cela peut être via l'ingénierie sociale, les attaques de spear phishing ou l'exploitation d'autres services.”

Breen a également attiré l'attention sur Numéro de série: CVE-2023-28220 et Numéro de série: CVE-2023-28219 - une paire de vulnérabilités d'exécution de code à distance affectant Serveurs d'Accès à Distance Windows (RAS) qui a également obtenu le label “exploitation plus probable” de Microsoft.

"Un attaquant peut exploiter cette vulnérabilité en envoyant une demande de connexion spécialement conçue à un serveur RAS, ce qui pourrait conduire à l'exécution de code à distance”, a déclaré Breen. Bien qu'ils ne soient pas standard dans toutes les organisations, les serveurs RAS ont généralement un accès direct depuis Internet où la plupart des utilisateurs et des services sont connectés. Cela le rend extrêmement attrayant pour les attaquants, car ils n'ont pas besoin de se frayer un chemin socialement dans une organisation. Ils peuvent simplement rechercher sur Internet des serveurs RAS et automatiser l'exploitation des périphériques vulnérables.”

Pour plus de détails sur les mises à jour publiées aujourd'hui, consultez le Tour d'horizon du Centre de tempête SANS Internet. Si les mises à jour d'aujourd'hui entraînent des problèmes de stabilité ou d'utilisabilité dans Windows, AskWoody.com aura probablement la vérité à ce sujet.

Veuillez envisager de sauvegarder vos données et/ ou d'imager votre système avant d'appliquer des mises à jour. Et n'hésitez pas à vous exprimer dans les commentaires si vous rencontrez des problèmes à la suite de ces correctifs.