Patch Tuesday : Microsoft corrige 7 vulnérabilités critiques au mois de mai 2022

Lors de son dernier Patch Tuesday, Microsoft a publié un total de 74 nouveaux correctifs de sécurité pour ses produits logiciels. Ce chiffre inclut une faille “importante” (une vulnérabilité Windows LSA Spoofing), par ailleurs activement exploitée dans le cadre de campagnes de cyberattaques très actuelles.

La firme de Redmond – qui déploie ses correctifs tous les deuxièmes mardi de chaque mois lors de ce que l’on appelle le Patch Tuesday – a corrigé cette faille ainsi que sept autres classifiées comme “critiques” : cinq bugs d’exécution de code à distance et deux failles d’élévation de privilège.

La liste restante de 67 failles est dominée par d’autres bugs de ces deux mêmes types, ainsi que d’un certain nombre de dénis de service, de fuites d’informations, de contournements de fonctions de sécurité et de problèmes d’usurpation, qui ont également été corrigés. Les produits concernés par la mise à jour de sécurité de mai sont le système d’exploitation Windows et plusieurs de ses composants, les plateformes .NET et Visual Studio, Office et ses composants, Exchange Server, BitLocker, Remote Desktop Client, NTFS et Microsoft Edge.

Des failles en pagaille

Certaines des vulnérabilités les plus graves résolues dans cette mise à jour sont les suivantes :

• CVE-2022-26925 : La seule faille de ce mois-ci répertoriée comme étant activement exploitée. Cette faille “importante” permet “d’appeler une méthode sur l’interface LSARPC et de contraindre le contrôleur de domaine à s’authentifier auprès de l’attaquant en utilisant NTLM.” Microsoft a attribué à cette faille un score de sévérité CVSS de 8.1, mais a noté que si elle était combinée à des attaques par relais NTLM, la sévérité serait portée à 9.8. Ce correctif corrige la faille en détectant et en interdisant les tentatives de connexion anonyme dans LSARPC.
• CVE-2022-26923 : Cette faille “critique” exploite l’émission de certificats en insérant des données modifiées dans une demande de certificat. Cela permet à l’attaquant d’obtenir un certificat capable d’authentifier un contrôleur de domaine avec un haut niveau de privilège. Cela permet essentiellement à l’individu avec une authentification non autorisée de devenir un administrateur de domaine dans n’importe quel domaine utilisant les services de certificats Active Directory. Cette faille a obtenu un score CVSS de 8,8.

Les failles CVE-2022-26937 et CVE-2022-29972 sont également à noter. La première est une vulnérabilité RCE dans le système de fichiers réseau (NFS) de Windows qui cible les systèmes dans les environnements à systèmes d’exploitation mixtes ; la seconde est une faille dans le pilote ODBC Magnitude Simba Amazon Redshift suffisamment importante pour mériter son propre billet de blog de Microsoft.

Le mois dernier, Microsoft avait résolu plus de 100 vulnérabilités dans son lot de correctifs de sécurité d’avril. Il s’agissait notamment de deux vulnérabilités de type ” zero-day “, d’un bogue connu du service Profil utilisateur de Windows conduisant à une élévation de privilèges et d’une autre faille EoP dans le pilote du système de fichiers journaux communs de Windows, qui était activement exploité au moment où un correctif de sécurité a été publié.

Source : ZDNet.com