Le Patch Tuesday de ce mois de février offre aux utilisateurs 72 correctifs

Après un début d’année plutôt léger, le Patch Tuesday de ce mois de février offre 72 correctifs et 21 avis aux clients Microsoft. Parmi les CVE traitées dans le Patch Tuesday de ce mois-ci, 43 concernent Windows. Douze autres groupes de produit sont également concernés. Parmi les autres CVE traitées, cinq sont considérées comme ‘Critiques’ en termes de gravité par Microsoft ; celles-ci affectent Windows, Office, Exchange et Dynamics 365.

Au moment de la publication de ce Patch Tuesday, deux des problèmes mentionnés sont connus pour être exploités sur le terrain mais aucun n’a été divulgué publiquement (c’est sans doute quand même le cas de l’un des avis ; nous y reviendrons dans une minute). Selon l’entreprise, huit des vulnérabilités corrigées dans Windows, Office et Exchange (notamment un problème d’élévation de privilèges de gravité ‘Critique’ avec un score CVSS de 9,8) sont plus susceptibles d’être exploitées dans les 30 prochains jours. Sept d’entre elles sont détectables par les protections Sophos, des informations sur ces dernières sont présentées dans le tableau ci-dessous.

En plus de ces correctifs, la version comprend des informations sur six CVE liées à Chromium/Edge, notamment une RCE qui pourrait permettre des évasions de sandbox ; une CVE émise par MITRE concernant un problème DNS pouvant conduire à un déni de service ; une CVE émise par Github traitant du récent problème CVE-2024-21626 “Leaky Vessel” affectant Mariner, divulgué récemment dans un long message public par Snyk et corrigé depuis par diverses autres sociétés concernées ; et enfin 13 avis Adobe, tous liés à Acrobat Reader.

Nous n’incluons pas les avis mentionnés ci-dessus dans les divers comptages et graphiques CVE ci-dessous, mais nous vous fournirons des informations de manière globale dans une annexe à la fin de l’article. Nous incluons comme d’habitude à la fin de cet article trois autres annexes répertoriant tous les correctifs de Microsoft, triés par gravité, par exploitabilité potentielle et par famille de produits.

Quelques chiffres

• Nombre total de CVE Microsoft : 72
• Nombre total d’avis Adobe contenus dans la mise à jour : 13
• Nombre total de problèmes Edge/Chromium traités dans la mise à jour : 6
• Nombre total d’avis Mariner contenus dans la mise à jour : 1
• Nombre total d’avis MITRE contenus dans la mise à jour : 1
• Divulgation(s) publique(s) : 0
• Exploitation(s) : 2
• Gravité :
  • Critique : 5
  • Importante : 65
  • Modérée : 2
• Impact :
  • Exécution de code à distance : 30
  • Élévation de privilèges : 16
  • Usurpation : 10
  • Déni de service : 8
  • Divulgation d’informations : 5
  • Contournement des fonctionnalités de sécurité : 3

Figure 1 : Après un mois de janvier marqué par les bugs de divulgation d’informations, une multitude de correctifs liés à OLE remettent l’exécution de code à distance en tête de liste des correctifs pour février.

Produits

• Windows : 43
• Azure : 8
• Dynamics 365 : 8
• Office : 5
• .NET : 1
• ASP.NET : 1 (partagé avec Visual Studio)
• Defender : 1
• Entra [Azure AD] : 1
• Exchange : 1
• Outlook 365 : 1
• Skype : 1
• Teams pour Android : 1
• Visual Studio : 1 (partagé avec ASP.NET)

Figure 2 : Il s’agit d’un mois chargé pour Windows, en partie à cause d’un grand nombre de correctifs pour Windows Defender Application Control (WDAC)

Mises à jour majeures du mois de février

En plus des problèmes mentionnés ci-dessus, quelques éléments intéressants méritent d’être soulignés.

CVE-2024-21350, CVE-2024-21352, CVE-2024-21358, CVE-2024-21359, CVE-2024-21360, CVE-2024-21361, CVE-2024-21365, CVE-2024-21366, CVE-2024-21367, CVE-2024-21368, CVE-2024-21369, CVE-2024-21370, CVE-2024-21375, CVE-2024-21391 (15 CVE) : Vulnérabilité d’exécution de code à distance dans Microsoft WDAC OLE DB provider pour SQL Server

Quinze CVE qui partagent non seulement le même nom mais aussi la même gravité (Importante), le même impact (RCE), le même score CVSS élevé (8,8) et la même non-identification de l’origine des découvertes (Microsoft classe les 15 dans la catégorie “Anonymous”). Elles sont accompagnées d’un correctif supplémentaire (potentiellement lié ?) qui partage tout sauf le numéro et le nom : CVE-2024-21353 (Vulnérabilité d’exécution de code à distance dans Microsoft WDAC ODBC Driver).

CVE-2024-21404 : Vulnérabilité d’élévation de privilèges dans Microsoft Entra Jira Single-Sign-On Plugin

Cette EoP plutôt corsée, Microsoft lui attribuant uniquement un indice de gravité ‘Important’, mais son score CVSS est un niveau ‘Critique’ de 9,8, cible le plugin Azure AD Jira SSO. Il est important de noter qu’il n’est même pas nécessaire que l’attaquant s’authentifie pour causer des problèmes ; il suffit d’un script pour accéder à un serveur Jira ciblé, et l’attaquant pourra ensuite mettre à jour les métadonnées et les informations Entra ID SAML concernant le plugin, lui permettant ainsi de modifier l’authentification de l’application à sa guise. Le correctif est une mise à jour vers la version 1.1.2 ; il est disponible soit depuis le Centre de téléchargement Microsoft, soit depuis Atlassian Marketplace.

CVE-2024-21410 : Vulnérabilité d’élévation de privilèges dans Microsoft Exchange Server

L’autre CVE avec un CVSS de 9.8 ce mois-ci est une vulnérabilité de relai NTLM (pass-the-hash). Cette dernière pourrait permettre à l’attaquant d’utiliser le hachage Net-NTLMv2 d’un utilisateur au niveau d’un serveur Exchange vulnérable et de s’authentifier en se faisant passer pour ce dernier. Cette vulnérabilité concerne plusieurs versions : Exchange Server 2016, mise à jour cumulative 23 ; Exchange Server 2019, mise à jour cumulative 13 ; et Exchange Server 2019, mise à jour cumulative 14. Plus d’informations sont disponibles sur le blog de l’équipe Exchange de Microsoft, mais sachez que l’entreprise estime que cette dernière est plus susceptible d’être exploitée dans les 30 prochains jours.

CVE-2024-21378 : Vulnérabilité d’exécution de code à distance dans Microsoft Outlook

Le volet de prévisualisation est un vecteur d’attaque pour cette version de gravité ‘Importante’ : une RCE avec un score CVSS de 8.0, et Microsoft estime qu’une exploitation est plus probable dans les 30 prochains jours. La course est donc lancée (il est donc question de deux vulnérabilités liées à Outlook et déclenchées par le volet de prévisualisation pour ce mois de février ; l’autre, CVE-2024-21413, est cependant actuellement associée à une ‘exploitation improbable’ [Exploitation Unlikely] par Microsoft).

CVE-2024-21374 : Vulnérabilité de divulgation d’informations dans Microsoft Teams pour Android

Le correctif pour ce problème de divulgation d’informations de gravité ‘Importante’ est disponible via Google Play.

Figure 3 : L’année 2024 est bel et bien lancée : même si, avec seulement 120 correctifs jusqu’à présent, les chiffres globaux sont nettement en recul par rapport aux années précédentes (les deux premiers mois de 2023 comptaient 173 correctifs ; 2022, 154 ; 2021, 139 ; et 2020, 150).

Les protections de Sophos

Comme c’est le cas tous les mois, si vous ne voulez pas attendre que votre système installe lui-même les mises à jour, vous pouvez les télécharger manuellement à partir du site Web Windows Update Catalog. Lancez l’outil winver.exe pour connaître la version de Windows 10 ou 11 que vous utilisez, puis téléchargez le package de mise à jour cumulative pour l’architecture et le numéro de build correspondant à votre système.

Annexe A : Impact et gravité des vulnérabilités

Il s’agit d’une liste des correctifs de février triés par impact, puis ensuite par gravité. Chaque liste est ensuite organisée par CVE.

Exécution de code à distance (30 CVE)

Élévation de privilèges (16 CVE)

Usurpation (10 CVE)

Déni de service (8 CVE)

Divulgation d’informations (5 CVE)

Contournement des fonctionnalités de sécurité (3 CVE)

Annexe B : Exploitation potentielle

Il s’agit d’une liste des CVE du mois de février, établie par Microsoft, qui regroupe les vulnérabilités étant plus susceptibles d’être exploitées sur le terrain dans les 30 premiers jours suivant la publication du Patch Tuesday. Chaque liste est ensuite organisée par CVE.

Annexe C : Produits affectés

Il s’agit d’une liste des correctifs du mois de février triés par famille de produits, puis ensuite par gravité. Chaque liste est ensuite organisée par CVE. Les correctifs partagés entre plusieurs familles de produit sont répertoriés plusieurs fois, une fois pour chaque famille.

Windows (43 CVE)

Azure (8 CVE)

Dynamics 365 (8 CVE)

Office (5 CVE)

.NET (avec un correctif partagé avec Visual Studio)

ASP.NET (1 CVE)

Defender (1 CVE)

Entra (1 CVE)

Exchange (1 CVE)

Outlook 365 (1 CVE)

Skype (1 CVE)

Teams pour Android (1 CVE)

Visual Studio (un correctif partagé avec ASP.NET)

Annexe D : Avis et autres produits

Il s’agit d’une liste d’avis et d’informations concernant d’autres CVE pertinentes dans le Patch Tuesday du mois de février de Microsoft, triés par produits.

Publications pertinentes pour Edge / Chromium (6 CVE)

Publications pertinentes pour Windows (publications non-Microsoft) (1 CVE)

Publications pertinentes pour Adobe (13 CVE)

Billet inspiré de February’s Patch Tuesday treats customers to 72 patches, sur le Blog Sophos.