Microsoft publie des correctifs pour 3 bogues exploités comme « Zero-Day in the Wild

C’est Patch d’avril 2020et en ces temps difficiles de pandémie de coronavirus, le processus de gestion des correctifs de ce mois ne serait pas facile pour de nombreuses organisations dont la plupart des ressources travaillent à distance.

Microsoft aujourd’hui publié le dernier lot de mises à jour de sécurité logicielle pour toutes les versions prises en charge de ses systèmes d’exploitation Windows et autres produits qui corrigent un total de 113 nouvelles vulnérabilités de sécurité, dont 17 sont critiques et 96 jugées importantes en termes de gravité.

Patches pour 4 jours zéro exploités dans la nature

Le plus important, deux des failles de sécurité ont été signalés comme étant publiquement connus au moment de leur libération, et les 3 sont activement exploités dans la nature par des pirates informatiques.

L’une des failles révélées publiquement, qui a également été exploitée en tant que « zero-day », réside dans la bibliothèque Adobe Font Manager utilisée par Windows, dont Microsoft a révélé l’existence le mois dernier dans le cadre d’une alerte de sécurité précoce pour ses millions d’utilisateurs.

Suivi en tant que CVE-2020-1020la vulnérabilité de l’exécution de code à distance existe dans Microsoft Windows lorsque la bibliothèque Windows Adobe Type Manager gère incorrectement une police multi-master spécialement conçue – le format PostScript Adobe Type 1.

Comme expliqué dans le poste précédentLa bibliothèque de polices concernée analyse non seulement le contenu lorsqu’elle est ouverte avec un logiciel tiers, mais elle est également utilisée par l’explorateur Windows pour afficher le contenu d’un fichier dans le « volet Aperçu » ou le « volet Détails » sans que les utilisateurs aient à l’ouvrir.

La deuxième faille d’exécution de code à distance exploitée dans la nature (CVE-2020-0938) réside également dans la bibliothèque Adobe Type Manager qui se déclenche lors de l’analyse d’une police OpenType malveillante.

Ces deux défauts du « zéro jour » étaient rapporté à Microsoft au cours de la dernière semaine de mars par des chercheurs travaillant avec Google Project Zero, mais avec un délai très court de divulgation complète, qui a ensuite été mutuellement prolongé compte tenu des circonstances mondiales actuelles.

Le troisième jour zéro est une élévation de la vulnérabilité des privilèges (CVE-2020-1027) dans le noyau Windows, découvert par l’équipe du Projet Zéro de Google, qui a un impact sur toutes les versions du système d’exploitation Windows prises en charge, y compris Windows 10, 8.1 et les éditions Server 2008, 2012, 2016 et 2019, ainsi que Windows 7 pour lequel Microsoft a mis fin à son soutien en janvier 2020.

Autres nouveaux bugs corrigés par Microsoft ce mois-ci

Le deuxième problème connu du public, qui n’a pas été exploité dans la nature, est une importante élévation de la vulnérabilité des privilèges (CVE-2020-0935) qui réside dans le bureau OneDrive pour Windows.

La dernière mise à jour comprend également des correctifs pour 5 défauts critiques qui affectent Microsoft Office SharePoint, dont 4 existent en raison de l’échec du logiciel à vérifier le balisage source d’un paquet d’application, permettant aux attaquants à distance d’exécuter du code arbitraire sur les machines affectées.

Considérant que la 5ème faille de SharePoint est une question de cross-site-scripting (XSS) (CVE-2020-0927) qui peut être exploité par un attaquant authentifié en envoyant une requête spécialement conçue à un serveur SharePoint affecté.

Il y a un autre défaut notable, suivi comme CVE-2020-0910 et classé critique, qui affecte Windows Hyper-V, permettant à une machine virtuelle invitée de compromettre l’hyperviseur, de s’échapper d’une machine virtuelle invitée vers l’hôte, ou de s’échapper d’une machine virtuelle invitée vers une autre machine virtuelle invitée.

En plus de cela, d’autres défauts critiques que Microsoft a corrigés ce mois-ci affectent le moteur de script Chakra, Microsoft Dynamics 365 Business Central, la fondation média, les composants graphiques, la bibliothèque de codecs et VBScript-tout cela conduisant à des attaques d’exécution de code à distance.

Il est vivement conseillé aux utilisateurs de Windows et aux administrateurs système d’appliquer les derniers correctifs de sécurité dès que possible afin d’empêcher les cybercriminels et les pirates informatiques de prendre le contrôle de leurs ordinateurs.

Pour installer les dernières mises à jour de sécurité Windows, vous pouvez vous rendre sur le site Settings → Update &amp ; Security → Windows Update → Vérifiez si des mises à jour sont disponibles sur votre PC, ou vous pouvez les installer manuellement.