Microsoft publie sa dernière mise à jour Patch Tuesday avec 33 failles corrigées, dont 4 critiques

Sur les 33 failles, quatre sont considérées comme critiques et 29 comme importantes. Ces correctifs s’ajoutent aux 18 failles que Microsoft a corrigées dans son navigateur Edge basé sur Chromium depuis la publication des mises à jour du Patch Tuesday pour novembre 2023.

Selon les données de la Zero Day Initiative, le géant du logiciel a corrigé plus de 900 failles cette année, ce qui en fait l’une des années les plus chargées pour les correctifs de Microsoft. À titre de comparaison, Redmond a résolu 917 CVE en 2022.

CVE-2023-36019 est également importante car elle permet à l’attaquant d’envoyer une URL spécialement conçue à la cible, ce qui entraîne l’exécution de scripts malveillants dans le navigateur de la victime sur sa machine. La mise à jour Patch Tuesday de Microsoft comble également trois failles dans le service de serveur DHCP (Dynamic Host Configuration Protocol) qui pourraient conduire à un déni de service ou à une divulgation d’informations – La divulgation intervient également alors qu’Akamai a découvert une nouvelle série d’attaques contre des domaines Active Directory qui utilisent des serveurs DHCP (Dynamic Host Configuration Protocol) de Microsoft. « Ces attaques pourraient permettre aux attaquants d’usurper des enregistrements DNS sensibles, ce qui aurait des conséquences diverses allant du vol d’informations d’identification à la compromission totale d’un domaine Active Directory « , a déclaré Ori David dans un rapport publié la semaine dernière. « Les attaques ne requièrent pas d’informations d’identification et fonctionnent avec la configuration par défaut du serveur DHCP de Microsoft. L’entreprise spécialisée dans les infrastructures web et la sécurité a également noté que l’impact de ces failles peut être important car elles peuvent être exploitées pour usurper des enregistrements DNS sur les serveurs DNS de Microsoft, y compris un écrasement arbitraire non authentifié d’un enregistrement DNS, permettant ainsi à un acteur d’obtenir une position machine-in-the-middle sur les hôtes du domaine et d’accéder à des données sensibles. Microsoft, en réponse à ces découvertes, a déclaré que « les problèmes sont soit conçus, soit pas assez graves pour être corrigés », et a demandé aux utilisateurs de désactiver les mises à jour dynamiques DHCP DNS si elles ne sont pas nécessaires et de s’abstenir d’utiliser DNSUpdateProxy. Outre Microsoft, des mises à jour de sécurité ont également été publiées par d’autres fournisseurs au cours des dernières semaines pour corriger plusieurs vulnérabilités – Inscrivez-vous gratuitement et commencez à recevoir votre dose quotidienne Les mesures de sécurité traditionnelles ne suffisent plus dans le monde d’aujourd’hui. L’heure de la sécurité zéro confiance a sonné. Un attaquant pourrait manipuler un lien ou un fichier malveillant en le faisant passer pour un lien ou un fichier légitime pour tromper la victime », a déclaré Microsoft dans son avis.