Patch Tuesday – Octobre 2021 : 81 vulnérabilités corrigées et 4 zero-day
Microsoft a mis en ligne le Patch Tuesday d'Octobre 2021, avec au menu 81 failles de sécurité corrigées, ainsi que 4 zero-day. Si l'on exclue les vulnérabilités corrigées dans Microsoft Edge, le total tombe à 74 failles.
Sur ce total de 74 failles de sécurité corrigées, il y a 3 failles critiques, 70 failles importantes et 1 marquée comme étant faible. La majorité de ces failles sont de types élévation de privilèges (21) et exécution de code à distance (20).
Au niveau des produits et composants concernés par ce Patch Tuesday d'octobre 2021, nous retrouvons : .NET Core, Visual Studio, ADFS, HTTP.sys, Microsoft Intune, Microsoft Office (Excel, Visio, Word, SharePoint), le noyau Windows, la pile TPC/IP de Windows, etc...
Les trois failles critiques : Word et Hyper-V
Pour les trois failles critiques, il y en a une qui concerne Microsoft Word (CVE-2021-40486), aussi bien sur Office 2013, Office 2016 qu'Office 2019, et qui permet une exécution de code à distance.
Les deux autres concernent Hyper-V (CVE-2021-40461 et CVE-2021-38672) et permettent aussi une exécution de code à distance. Il est à noter que la faille CVE-2021-38672 touche uniquement Windows Server 2022 et Windows 11, tandis que la faille CVE-2021-40461 touche Windows 10 et Windows Server 2019, en plus de Windows 11 et Windows Server 2022.
Les quatre failles zero-day : win32k, kernel, Serveur DNS et Windows AppContainer
Parmi ces quatre failles zero-day, il y en a une qui est utilisée activement par les pirates : la CVE-2021-40449, de type élévation de privilèges, elle concerne le composant Win32k de Windows.
C'est Boris Larin, de chez Kaspersky, qui a découvert cette faille de sécurité, et d'après lui, elle serait utilisée pour mener des campagnes d'espionnage contre des entreprises d'informatique, mais aussi des entités diplomatiques. Kaspersky a nommé cette campagne d'attaques MysterSnail et l'a attribuée à IronHusky, un groupe de hackers chinois.
Concernant les trois autres failles zero-day :
- CVE-2021-40469 - Serveur DNS - Exécution de code à distance
- CVE-2021-41335 - Noyau Windows - Elévation de privilèges
- CVE-2021-41338 - Windows AppContainer - Bypass de la sécurité (firewall)
Microsoft a également publié la première mise à jour cumulative pour Windows 11 et une nouvelle mise à jour cumulative pour Windows 10.
