Le premier Patch Tuesday de 2024 commence tout en douceur

Le mois de janvier n’est traditionnellement pas le mois le plus calme en matière de gestion des correctifs, donc un deuxième mois avec (relativement) peu de patchs Microsoft est un vrai cadeau. Dans ce Patch Tuesday, l’entreprise a publié des correctifs concernant 48 vulnérabilités dont 38 visant Windows. Huit autres groupes de produit sont également concernés. Parmi les CVE traitées, seules quatre sont considérées comme ‘Critiques’ en termes de gravité, du moins selon Microsoft, ces deux dernières concernant Windows.

Au moment de la publication de ce Patch Tuesday, aucun des problèmes mentionnés n’est connu pour avoir été exploité sur le terrain, et aucun n’a été divulgué publiquement. Cependant, selon l’estimation de l’entreprise, neuf des vulnérabilités corrigées dans Windows et SharePoint (notamment une CVE de gravité ‘Critique’ affectant Kerberos), sont plus susceptibles d’être exploitées au cours des 30 prochains jours. Quatre d’entre elles sont détectables par les protections Sophos, des informations sur ces dernières sont présentées dans le tableau ci-dessous.

En plus des 48 correctifs, ce Patch Tuesday contient des informations sur quatre CVE Chrome (publiées plus tôt ce mois-ci) qui affectent Edge, et une CVE émise par MITRE touchant le moteur de base de données open source SQLite (il n’y a pas de correctifs Adobe ce mois-ci). Nous n’incluons pas les problèmes mentionnés ci-dessus dans les divers comptages et graphiques CVE ci-dessous, mais nous vous fournirons des informations de manière globale dans une annexe à la fin de l’article. Nous incluons comme d’habitude à la fin de cet article trois autres annexes répertoriant tous les correctifs de Microsoft, triés par gravité, par exploitabilité potentielle et par famille de produits.

Quelques chiffres

• Nombre total de CVE Microsoft : 48
• Nombre total d’avis contenus dans la mise à jour : 0
• Nombre total de problèmes Edge/ Chrome traités dans la mise à jour : 4
• Divulgation(s) publique(s) : 0
• Exploitation(s) : 0
• Gravité :
  • Critique : 2
  • Importante : 46
• Impact :
  • Divulgation d’informations : 12
  • Exécution de code à distance (RCE) : 11
  • Élévation de privilèges : 10
  • Déni de service : 6
  • Contournement des fonctionnalités de sécurité : 6
  • Usurpation : 3

Figure 1 : Oui, vous lisez correctement le graphique ci-dessus  : les problèmes de divulgation d’informations sont plus nombreux que les bugs EoP et RCE en janvier. Les problèmes de contournement des fonctionnalités de sécurité, dont un de gravité ‘Critique’, figurent également en bonne position.

Produits

• • Windows : 38
  • .NET : 5 (dont 1 correctif partagé avec Visual Studio ; un avec Microsoft Identity Model / NuGet et Visual Studio ; et un avec Azure, SQL Server et Visual Studio).
  • Visual Studio : 4 (dont un partagé avec .NET ; un partagé avec .NET et Microsoft Identity Model/NuGet ; et un partagé avec .NET, Azure et SQL Server).
  • Azure : 2 (avec un correctif partagé avec . NET, SQL Server et Visual Studio).
  • Microsoft Identity Model / NuGet : 1 (partagé avec . NET et Visual Studio).
  • Microsoft Printer Metadata Troubleshooter Tool : 1
  • Office : 1
  • SharePoint : 1
  • Serveur SQL : 1 (partagé avec . NET, Azure et Visual Studio).

Figure 2 : Windows est largement représenté dans les correctifs de ce mois-ci, mais plusieurs outils et applications moins courants sont également présents (désignations complètes indiquées dans les tableaux ci-dessous).

Mises à jour majeures du mois de janvier

En plus des problèmes mentionnés ci-dessus, quelques éléments intéressants méritent d’être soulignés.

CVE-2024-0057 : Vulnérabilité de contournement des fonctionnalités de sécurité dans .NET, .NET Framework et Visual Studio Framework

CVE-2024-20674 : Vulnérabilité de contournement des fonctionnalités de sécurité dans Windows Kerberos

Parmi ces deux problèmes de contournement des fonctionnalités de sécurité, Microsoft considère que seul le problème Kerberos est de classe ‘Critique’. Le système de notation CVSS est différent, puisque les critères de ce système de notation exige que les évaluateurs envisagent les pires scénarios possibles lors de l’évaluation des bugs dans les bibliothèques de logiciels. Leurs scores de base CVSS sont donc respectivement de 9,1 et 9,0. Dans tous les cas, les administrateurs sont encouragés à donner la priorité à ces deux correctifs.

CVE-2024-20696 : Vulnérabilité d’exécution de code à distance dans Windows Libarchive

CVE-2024-20697 : Vulnérabilité d’exécution de code à distance dans Windows Libarchive

Les informations disponibles sur ces deux RCE de classe ‘Importante’ portant le même nom sont rares, mais le titre contient un indice important sur leur importance : ces deux problèmes affectent Libarchive, le moteur de lecture et d’écriture dans différents formats de compression et d’archive.

CVE-2024-20666 : Vulnérabilité de contournement des fonctionnalités de sécurité dans BitLocker

Un autre contournement des fonctionnalités de sécurité, cette fois-ci au sein même d’une fonctionnalité de sécurité. Ce problème est lié à des exigences assez variables concernant la maintenance de Safe OS : pour la plupart des versions de Windows 11, il s’agit désormais d’un processus entièrement automatisé, et ceux qui s’appuient sur WSUS sont automatiquement mis à jour, mais ceux qui travaillent dans des environnements plus complexes sont fortement encouragés à consulter les instructions publiées par Microsoft pour obtenir des instructions spécifiques. Dans tous les cas, l’attaquant aura besoin d’un accès physique à la machine ciblée.

CVE-2024-21305 : Vulnérabilité de contournement des fonctionnalités de sécurité dans HVCI (Hypervisor-Protected Code Integrity)

La CVE avec le score de base CVSS le plus bas ce mois-ci a des points communs avec les deux CVE aux scores plus élevés : c’est encore un autre contournement des fonctionnalités de sécurité. Cependant, celui-ci n’obtient qu’un score de base de 4,4 et nécessite que l’attaquant ait un accès physique à la machine ciblée et ait préalablement compromis les identifiants de l’administrateur. Cette vulnérabilité affecte un ensemble de versions client et serveur Windows et, pour ceux qui utilisent encore ce matériel, 15 versions de Surface.

Les protections de Sophos

Comme c’est le cas tous les mois, si vous ne voulez pas attendre que votre système installe lui-même les mises à jour, vous pouvez les télécharger manuellement à partir du site Web Windows Update Catalog. Lancez l’outil winver.exe pour connaître la version de Windows 10 ou 11 que vous utilisez, puis téléchargez le package de mise à jour cumulative pour l’architecture et le numéro de build correspondant à votre système.

Annexe A : Impact et gravité des vulnérabilités

Il s’agit d’une liste des correctifs de janvier triés par impact, puis ensuite par gravité. Chaque liste est ensuite organisée par CVE.

Divulgation d’informations (12 CVE)

Exécution de code à distance (11 CVE)

Élévation de privilèges (10 CVE)

Déni de service (6 CVE)

Contournement des fonctionnalités de sécurité (6 CVE)

Usurpation (3 CVE)

Annexe B : Exploitation potentielle

Il s’agit d’une liste des CVE du mois de janvier, établie par Microsoft, qui regroupe les vulnérabilités étant plus susceptibles d’être exploitées sur le terrain dans les 30 premiers jours suivant la publication du Patch Tuesday. Chaque liste est ensuite organisée par CVE. Aucune CVE traitée dans la série de correctifs du mois de janvier n’est encore connue pour être activement exploitée sur le terrain.

Annexe C : Produits affectés

Il s’agit d’une liste des correctifs du mois de janvier triés par famille de produits, puis ensuite par gravité. Chaque liste est ensuite organisée par CVE. Les correctifs partagés entre plusieurs familles de produit sont répertoriés plusieurs fois, une fois pour chaque famille.

Windows (38 CVE)

.NET (5 CVE)

Visual Studio (4 CVE)

Azure (2 CVE)

Microsoft Identity Modèle (1 CVE)

Microsoft Printer Metadata Troubleshooter Tool (1 CVE)

Office (1 CVE)

SharePoint (1 CVE)

SQL Server (1 CVE)

Annexe D : Avis et autres produits

Il s’agit d’une liste d’avis et d’informations concernant d’autres CVE pertinentes dans le Patch Tuesday du mois de janvier de Microsoft, triés par produits.

Publications pertinentes pour Edge / Chromium (4 CVE)

Publications pertinentes pour Windows (produit tiers) (1 CVE)

Billet inspiré de 2024’s first Patch Tuesday steps lightly, sur le Blog Sophos.