120 vulnérabilités, deux zero day, c’est le Patch Tuesday

Spread the love
  • Yum

120 vulnérabilités, deux zero day, c'est le Patch Tuesday

Microsoft a commencé à déployer hier les mises à jour de sécurité du Patch Tuesday d’août 2020.

Ce mois-ci, la société a corrigé 120 vulnérabilités dans 13 produits différents, de Edge à Windows, et de SQL Server à la structure .NET.

Parmi les 120 vulnérabilités corrigées ce mois-ci, 17 bugs ont reçu la plus haute note de gravité “Critique”, et il y a également deux failles zero day, des vulnérabilités qui ont été exploitées par des pirates avant que Microsoft ne puisse fournir les correctifs.

publicité

Zero day n°1

La premiere des deux failles zero day corrigées ce mois-ci est un bug du système d’exploitation Windows. Connu sous l’identifiant CVE-2020-1464, Microsoft affirme qu’un attaquant peut exploiter ce bug et faire en sorte que Windows ne valide pas correctement les signatures de fichiers.

Le fabricant du système d’exploitation dit que les attaquants peuvent abuser de ce bug pour “contourner les dispositifs de sécurité et charger des fichiers mal signés”.

Comme pour tous les avis de sécurité de Microsoft, les détails techniques concernant le bugs et les attaques ayant exploité cette faille n’ont pas été rendues publiques. L’équipe de sécurité de Microsoft utilise cette approche pour empêcher d’autres pirates de déduire le fonctionnement de la vulnérabilité, et pour prolonger le temps nécessaire à l’apparition d’autres exploits dans la nature.

Zero day n°2

Quant à la seconde faille zero day, elle est suivie sous l’identifiant CVE-2020-1380, et réside dans le moteur de script qui est fourni avec Internet Explorer.

Microsoft a expliqué avoir reçu un rapport du fabricant d’antivirus Kaspersky selon lequel des pirates avaient trouvé un bug d’exécution de code à distance (RCE) dans le moteur de script d’IE et l’utilisaient dans leurs attaques.

Bien que le bug réside dans le moteur de script d’IE, d’autres applications Microsoft natives sont également touchées, comme la suite Office.

En effet, les applications Office utilisent le moteur de script d’IE pour intégrer et rendre des pages web à l’intérieur des documents Office, une fonctionnalité dans laquelle le moteur de script joue un rôle majeur.

Cela signifie que le bug peut être exploité en attirant les utilisateurs sur des sites malveillants ou en leur envoyant des fichiers Office piégés.

Vous trouverez ci-dessous des informations utiles sur le Patch Tuesday de Microsoft, mais aussi sur les mises à jour de sécurité publiées par d’autres entreprises ce mois-ci, que les administrateurs système devront peut-être également traiter, en plus de celle de Microsoft.

  • Le portail officiel de Microsoft Security Update Guide répertorie toutes les mises à jour de sécurité dans un tableau filtrable.
  • Les mises à jour de sécurité d’Adobe sont détaillées ici.
  • Les mises à jour de sécurité SAP sont disponibles ici.
  • Les mises à jour de sécurité VMWare sont disponibles ici.
  • Citrix a également publié quelques correctifs aujourd’hui.
  • Les correctifs trimestriels d’Oracle (pour le deuxième trimestre 2020, édition de juillet) sont disponibles ici.
  • Les mises à jour de sécurité de Chrome 84 sont détaillées ici.
  • Le bulletin de sécurité Android pour août 2020 est disponible ici. Les correctifs ont commencé à être installés sur les téléphones des utilisateurs la semaine dernière.

Source : “ZDNet.com”

Leave a Reply

Your email address will not be published. Required fields are marked *