Technologie
Mise à jour de sécurité de Microsoft : 90 vulnérabilités révélées
Microsoft a récemment annoncé la découverte de 90 failles de sécurité dans ses produits, dont six sont déjà exploitées, tandis que quatre autres sont connues du public. En outre, une douzaine de vulnérabilités provenant de fournisseurs tiers ont été intégrées dans la mise à jour mensuelle de Microsoft. Bienvenue à la mise à jour d’août, chers utilisateurs.
Parmi les 102 bugs répertoriés ce mois-ci, neuf sont classés comme critiques, mais jusqu’à présent, aucun d’entre eux n’a été signalé comme étant activement exploité par des cybercriminels.
Vulnérabilités en cours d’exploitation
Examinons de plus près les six vulnérabilités actuellement exploitées :
-
CVE-2024-38189 – Cette vulnérabilité d’exécution de code à distance dans Microsoft Project a reçu une note de 8,8 sur l’échelle CVSS. Le point négatif est qu’elle a été exploitée avant qu’un correctif ne soit disponible. Cependant, l’exploitation nécessite la désactivation de certaines fonctionnalités de sécurité, ce qui complique la tâche pour un attaquant. Si un cybercriminel parvient à trouver un système exécutant des macros téléchargées depuis Internet et à convaincre une victime d’ouvrir un fichier malveillant, il peut alors exécuter du code à distance.
-
CVE-2024-38178 – Cette vulnérabilité de corruption de mémoire dans le moteur de script a obtenu une note de 7,5. Microsoft indique que la complexité de l’attaque est élevée, car elle nécessite que la victime utilise Edge en mode Internet Explorer. Certaines organisations continuent d’utiliser ce navigateur obsolète, ce qui facilite l’exploitation. Si un attaquant réussit à convaincre la victime de cliquer sur un lien malveillant, il peut exécuter du code à distance sur son appareil.
-
CVE-2024-38193 – Cette vulnérabilité d’élévation de privilèges dans le pilote de fonction auxiliaire de Windows pour WinSock a une note de 7,8. Elle pourrait permettre à un attaquant d’acquérir des privilèges système. Selon Dustin Childs de Zero Day Initiative, ces types de failles sont souvent associés à des bugs d’exécution de code pour prendre le contrôle d’une cible.
-
CVE-2024-38106 – Une autre vulnérabilité d’élévation de privilèges dans le noyau Windows, notée 7,0. Son exploitation nécessite qu’un attaquant réussisse à gagner une condition de course, mais les détails sur cette condition ne sont pas fournis. Cette vulnérabilité a déjà été exploitée, il est donc conseillé de patcher rapidement.
-
CVE-2024-38107 – Cette vulnérabilité d’élévation de privilèges dans le coordinateur de dépendance de Windows a une note de 7,8 et a également été exploitée dans la nature.
-
CVE-2024-38213 – Une vulnérabilité de contournement de la fonctionnalité de sécurité « Mark of the Web » de Windows, notée 6,5. Cette faille permet à un attaquant de contourner la fonctionnalité de sécurité SmartScreen, mais nécessite que le marqueur soit utilisé pour ouvrir un fichier malveillant.
Autres vulnérabilités à surveiller
Microsoft a également identifié quatre vulnérabilités qui ont été publiquement divulguées, mais pas encore exploitées. Il est conseillé de les ajouter en priorité à votre liste de correctifs :
- CVE-2024-38200 – Vulnérabilité de spoofing dans Microsoft Office, notée 6,5.
- CVE-2024-38199 – Vulnérabilité RCE dans le service Line Printer Daemon (LPD) de Windows, notée 9,8.
- CVE-2024-21302 – Vulnérabilité d’élévation de privilèges dans le mode noyau sécurisé de Windows, notée 6,7.
- CVE-2024-38202 – Vulnérabilité d’élévation de privilèges dans la pile de mise à jour de Windows, notée 7,3.
Mises à jour d’Adobe
Ce mois-ci, Adobe a corrigé 71 vulnérabilités dans 11 mises à jour pour ses produits, notamment Illustrator, Photoshop, InDesign, Acrobat et Reader. Adobe affirme ne pas avoir connaissance d’exploitations pour ces failles désormais corrigées. Le produit Commerce présente le plus grand nombre de vulnérabilités critiques, avec sept failles, tandis qu’InDesign a corrigé 13 CVEs et Acrobat et Reader en ont corrigé 12, dont certaines étaient des RCE.
Mises à jour de sécurité SAP
SAP a publié 25 nouveaux correctifs de sécurité, dont deux notes HotNews et quatre notes de haute priorité. Thomas Fritsch, chercheur en sécurité chez SAP, indique que ce nombre est supérieur à la moyenne pour l’éditeur de logiciels. Parmi les nouvelles notes HotNews, la note #3479478 (CVE-2024-41730) a obtenu une note de 9,8 et traite d’une vulnérabilité de déni de service dans la plateforme SAP BusinessObjects Business Intelligence.
Nouvelles vulnérabilités chez Intel
Intel a également rejoint le mouvement de mise à jour ce mois-ci avec 43 avis de sécurité, corrigeant plusieurs failles dans ses logiciels et matériels. Neuf de ces vulnérabilités sont classées comme ayant une gravité élevée. Les correctifs concernent notamment les contrôleurs et adaptateurs Ethernet d’Intel, ainsi que des failles dans le BIOS de certains modèles Intel NUC, qui pourraient permettre une élévation de privilèges ou un déni de service.
