Patch Tuesday : 50 vulnérabilités corrigées, dont six “zero-days” activement exploitées

Microsoft a publié 50 correctifs de sécurité logiciels afin de résoudre des problèmes critiques et importants, dont six zero-days activement exploités.

Dans la dernière série de correctifs du géant de Redmond, généralement publiée le deuxième mardi de chaque mois sous le nom de Patch Tuesday, Microsoft a corrigé des problèmes comme des bugs d’exécution de code à distance (RCE), des problèmes de déni de service, d’élévation de privilèges et de corruption de mémoire.

Au total, en termes de gravité, cinq des vulnérabilités sont considérées comme critiques et 45 comme importantes.

Six zero-day activement exploitées

Les produits concernés par la mise à jour de sécurité de juin sont Microsoft Office, .NET Core && ; Visual Studio, le navigateur Edge, Windows Cryptographic Services, SharePoint, Outlook et Excel.

Les vulnérabilités de type “zero-day” que Microsoft a repérées comme étant activement exploitées et qui sont maintenant corrigées dans cette mise à jour sont les suivantes :

• CVE-2021-33742 : vulnérabilité d’exécution de code à distance de la plateforme Windows MSHTML, CVSS 7.5.
• CVE-2021-33739 : vulnérabilité d’élévation de privilège dans la bibliothèque centrale DWM de Microsoft, CVSS 8.4.
• CVE-2021-31199 : vulnérabilité d’élévation de privilège du Microsoft Enhanced Cryptographic Provider, CVSS 5.2.
• CVE-2021-31201 : vulnérabilité d’élévation de privilèges du fournisseur cryptographique amélioré de Microsoft, CVSS 5.2
• CVE-2021-31955 : vulnérabilité de divulgation d’informations du noyau Windows, CVSS 5.5.
• CVE-2021-31956 : vulnérabilité d’élévation de privilège Windows NTFS, CVSS 7.8.

Microsoft signale un autre zero-day, mais cette fois non-exploité. Il s’agit de CVE-2021-31968. Avec un score CVSS de 7,5, cette faille, maintenant corrigée, pouvait permettre de déclencher un déni de service.

Huit de ces vulnérabilités ont été signalées par la Zero Day Initiative (ZDI). Microsoft a également reconnu les rapports du Threat Analysis Group de Google, du Google Project Zero, de Nixu Cybersecurity, de Check Point Research, de FireEye, de Kaspersky et d’autres.

Appliquer les correctifs au plus vite

« Bien que ces vulnérabilités aient déjà été exploitées dans la nature en tant que zero-days, il est toujours vital que les organisations appliquent ces correctifs dès que possible. Les failles non corrigées restent un problème pour de nombreuses organisations des mois après la publication des correctifs », commente Tenable.

Le mois dernier, Microsoft a corrigé 55 failles de sécurité, dont quatre étaient jugées critiques, dans le lot de correctifs de sécurité de mai. Trois vulnérabilités de type “zero-day” ont également été corrigées au même moment, mais heureusement, aucune ne semble avoir été exploitée dans la nature.

Un mois plus tôt, le géant de la technologie a corrigé 114 vulnérabilités lors du Patch Tuesday d’avril. L’Agence nationale de sécurité américaine (NSA) avait alors signalé deux vulnérabilités d’exécution de code à distance (RCE) (CVE-2021-28480 et CVE-2021-28481) dans Exchange Server.

Source : ZDNet.com