Patch Tuesday – Août 2022 : Microsoft corrige 121 failles de sécurité et 2 zero-day

Pour ce mois d'août 2022, Microsoft a mis en ligne un Patch Tuesday conséquent puisque l'entreprise américaine a corrigé 121 failles de sécurité ainsi que deux failles zero-day dont une faille exploitée nommée "DogWalk". Faisons le point.

Parmi ces 121 vulnérabilités, 17 sont considérés comme étant critiques, car elles permettent l'exécution de code à distance ou l'élévation de privilèges. Les produits et services concernés par les failles critiques sont :

• Active Directory (ADDS) - CVE-2022-34691

Cette vulnérabilité touche l'ensemble des versions de Windows et voici ce que nous dit Microsoft à son sujet : "Un utilisateur authentifié pourrait manipuler les attributs des comptes d'ordinateur qu'il possède ou gère, et acquérir un certificat auprès des services de certificats d'Active Directory qui permettrait l'élévation des privilèges sur le système."

• Azure Batch Node Agent - CVE-2022-33646
• Microsoft Exchange Server - CVE-2022-21980, CVE-2022-24516 et CVE-2022-24477
• Accès à distance PPTP - CVE-2022-35752, CVE-2022-35753, CVE-2022-35744 et CVE-2022-30133
• Accès à distance SSTP - CVE-2022-35745, CVE-2022-35766, CVE-2022-35794, CVE-2022-34714, CVE-2022-34702 et CVE-2022-35767
• Hyper-V - CVE-2022-34696
• Noyau Windows - CVE-2022-35804

En ce qui concerne les autres produits concernés, et sans parler de Microsoft Edge avec ses 20 vulnérabilités corrigées qui viennent s'additionner à ce total de 121, voici la liste : .NET Core, Azure Real Time Operating System, Azure Site Recovery, Azure Sphere, le pilote Bluetooth de Microsoft, Microsoft Office dont Excel et Outlook, l'outil de diagnostic MSDT, Visual Studio, Windows Defender Credential Guard, IIS, Windows Kerberos, Windows Secure Boot, le Spouleur d'impression Windows ou encore Windows Storage Spaces Direct. Le mois dernier, Microsoft a déjà corrigé 32 failles de sécurité dans Azure Site Recovery, et ce mois-ci, la firme de Redmond en a corrigé 34 supplémentaires !

Deux failles zero-day corrigées dont DogWalk

Comme je le disais en introduction, le Patch Tuesday de ce mois-ci corrige deux vulnérabilités zero-day, dont une qui serait activement exploitée dans le cadre de cyberattaques.

Commençons par la vulnérabilité non exploitée par les pirates informatiques. Il s'agit de la faille avec la référence CVE-2022-30134, associée à Microsoft Exchange et de type "divulgation d'informations". Sur son site, Microsoft précise : "Un attaquant qui réussit à exploiter cette vulnérabilité peut lire des messages électroniques ciblés.", donc on peut comprendre que l'attaquent peut accéder à certains e-mails. Voici les versions d'Exchange concernées :

• Microsoft Exchange Server 2019 Cumulative Update 12
• Microsoft Exchange Server 2019 Cumulative Update 11
• Microsoft Exchange Server 2016 Cumulative Update 23
• Microsoft Exchange Server 2016 Cumulative Update 22
• Microsoft Exchange Server 2013 Cumulative Update 23

Parlons maintenant de la vulnérabilité connue sous le nom de "DogWalk" et associée à la référence CVE-2022-34713. Comme la vulnérabilité Follina, elle se situe dans l'outil de support de Microsoft nommé "MSDT" (Microsoft Support Diagnostic Tool) et toutes les versions de Windows (desktop et server) sont affectées ! D'ailleurs, ces travaux sont liés, car le chercheur en sécurité Imre Rad a découvert cette vulnérabilité en janvier 2020, mais Microsoft a décidé de ne pas la corriger après avoir estimé qu'il ne s'agissait pas d'une faille de sécurité. Néanmoins, après la découverte de la vulnérabilité Follina dans MSDT (via Microsoft Office), les chercheurs en sécurité ont mis la pression à Microsoft pour que la vulnérabilité DogWalk soit également corrigée ! C'est désormais chose faite !

A vos mises à jour !

Source

Florian BURNEL Co-founder of IT-Connect

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

See Full Bio