C'est un Patch Tuesday particulièrement fourni que Microsoft a déployé cette semaine. La firme à la fenêtre corrige 73 vulnérabilités Windows, parmi lesquelles 5 considérées comme critiques, et 2 failles zero-day.
Après avoir corrigé une cinquantaine de vulnérabilités le mois de dernier, le Patch Tuesday du mois de février est un cru particulièrement fourni, avec pas moins de 73 failles corrigées. Parmi elles, notons deux zero-day en cours d'exploitation, qui permettent de contourner les protections de Windows SmartScreen, et surtout 5 brèches critiques. Microsoft met plus particulièrement en garde les utilisateurs contre les risques potentiels et les attaques d'exécution de code.
Deux failles zero day Windows qui permettent de contourner des fonctionnalités de sécurité
Microsoft a donc annoncé la correction de deux failles zero-day. On rappellera ici qu'il s'agit de vulnérabilités non résolues qui sont déjà exploitées par les pirates informatiques, avant que les développeurs et le public ne s'en aperçoivent.
Au menu donc ici, deux failles de ce type. La première, référencée CVE-2024-21351, est une vulnérabilité qui permet à un acteur malveillant d'injecter du code dans SmartScreen. Réussie, l'exploitation pourrait conduire à une exposition de données, voire à des interruptions du système.
La faille CVE-2024-21412 permet, elle, à un attaquant de contourner les contrôles de sécurité, en envoyant un fichier spécialement conçu, à un utilisateur ciblé. Plus précisément, il s'agit d'une vulnérabilité de contournement de la fonction de sécurité des fichiers de raccourci internet. Bien que les cybercriminels aient besoin de persuader les utilisateurs d'ouvrir le fichier, ces failles présentent des risques significatifs. Elles seraient exploitées par le groupe Water Hydra, qui viserait les traders des marchés financiers.
Plusieurs failles critiques corrigées
Les pirates ont d'ailleurs pu exploiter les failles CVE-2024-20684 (vulnérabilité de déni de service dans Windows Hyper-V), CVE-2024-21357 (exécution de code à distance dans Windows), CVE-2024-21380 (divulgation d'informations dans Microsoft Dynamics Business Central), CVE-2024-21410 (élévation de privilèges de Microsoft Exchange Server) et CVE-2024-21413 (exécution de code à distance dans Microsoft Outlook).
Les deux dernières citées atteignent un score de sévérité de 9,8. La faille référencée CVE-2024-21410, qui concerne une élévation de privilèges dans Microsoft Exchange Server, pourrait par exemple entraîner la divulgation du hachage NTLM (New Technology LAN Manager) d'un utilisateur, permettant à l'attaquant de s'authentifier en tant qu'utilisateur ciblé.
On ajoutera à tout cela une quinzaine de correctifs liés à des failles d'exécution à distance dans Microsoft WDAC (Windows Defender Application Control) OLE DB pour SQL Server. Ces vulnérabilités pourraient être exploitées par un attaquant pour pousser un utilisateur authentifié à se connecter à un serveur SQL malveillant via OLE DB. Le correctif est complété d'un autre, qui résout la brèche CVE-2023-50387, portant sur un défaut de conception remontant à 24 ans de DNSSEC (Domain Name System Security Extensions) et qui pouvait être exploité pour provoquer des attaques par déni de service.
- Refonte graphique de l'interface réussie
- Snap amélioré
- Groupes d'ancrage efficaces
Windows 11 de Microsoft redéfinit l'expérience utilisateur avec une interface repensée, des widgets personnalisables et une intégration renforcée de Microsoft Teams. Chaque innovation vise à optimiser et enrichir l'utilisation quotidienne de votre appareil. Que vous soyez professionnel, créateur ou utilisateur lambda, Windows 11 répond à vos besoins en alliant efficacité et plaisir d'utilisation.
Windows 11 de Microsoft redéfinit l'expérience utilisateur avec une interface repensée, des widgets personnalisables et une intégration renforcée de Microsoft Teams. Chaque innovation vise à optimiser et enrichir l'utilisation quotidienne de votre appareil. Que vous soyez professionnel, créateur ou utilisateur lambda, Windows 11 répond à vos besoins en alliant efficacité et plaisir d'utilisation.
Source : The Hacker News
Journaliste, chargé de l'actualité de Clubic. Reporter, vidéaste, animateur et même imitateur-chanteur, j'ai écrit mon premier article en 6ème. J'ai fait de cette vocation mon métier (diplômé de l'EJCAM, école reconnue par la profession), pour écrire, interviewer, filmer, monter et produire du contenu écrit, audio ou vidéo au quotidien. Quelques atomes crochus avec la Tech, certes, mais aussi avec l'univers des médias, du sport et du voyage. Outre le journalisme, la production vidéo et l'animation, je possède une chaîne YouTube (à mon nom) qui devrait piquer votre curiosité si vous aimez les belles balades à travers le monde, les nouvelles technologies et la musique :)
Lire d'autres articles
