Le patch mardi de Microsoft de novembre 2021 corrige 55 vulnérabilités

Microsoft a publié des correctifs pour plus de 55 vulnérabilités de sécurité dans sa dernière mise à jour Patch Tuesday de novembre 2021. Six de ces vulnérabilités sont classées comme critiques et 49 comme importantes en termes de gravité. La mise à jour a corrigé des failles de sécurité dans Microsoft Windows et Windows Components, 3D Viewer, Azure, Azure RTOS, Azure Sphere, Microsoft Dynamics, Microsoft Edge (basé sur Chrome), Exchange Server, Microsoft Office et composants Office, Windows Hyper-V, Windows Defender et Visual Studio.

Six bugs critiques corrigés

Le géant de la technologie a également publié des correctifs pour deux vulnérabilités critiques – CVE-2021-42321 et CVE-2021-42292 – dans Microsoft Exchange Server et Microsoft Excel qui sont activement exploitées dans la nature.

CVE-2021-42321 est une faille d’exécution de code à distance de Microsoft Exchange Server due à une validation incorrecte des arguments de l’applet de commande, qui ne peut être exploitée que par un pirate authentifié. Considérant que CVE-2021-42292 est un bogue de contournement des fonctionnalités de sécurité de Microsoft Excel qui permet à un attaquant de tromper les utilisateurs en leur faisant ouvrir un fichier spécialement conçu avec une version infectée d’Excel.

« Nous sommes conscients d’attaques ciblées limitées dans la nature utilisant l’une des vulnérabilités (CVE-2021-42321), qui est une vulnérabilité post-authentification dans Exchange 2016 et 2019. Notre recommandation est d’installer ces mises à jour immédiatement pour protéger votre environnement. Ces vulnérabilités affectent Microsoft Exchange Server sur site, y compris les serveurs utilisés par les clients en mode hybride Exchange. Les clients Exchange Online sont déjà protégés et n’ont besoin de prendre aucune mesure », a déclaré Microsoft dans un communiqué.

Les autres vulnérabilités critiques traitées dans la mise à jour incluent :

• CVE-2021-38631 – Vulnérabilité de divulgation d’informations du protocole Windows Remote Desktop (RDP)
• CVE-2021-41371 – Vulnérabilité de divulgation d’informations dans le protocole Windows Remote Desktop (RDP)
• CVE-2021-43208– Vulnérabilité d’exécution de code à distance de la visionneuse 3D
• CVE-2021-43209– Vulnérabilité d’exécution de code à distance de la visionneuse 3D

Microsoft a exhorté les organisations et les utilisateurs à appliquer les correctifs pour empêcher les exploits potentiels. « La version de sécurité mensuelle comprend tous les correctifs de sécurité pour les vulnérabilités qui affectent Windows 10, en plus des mises à jour non liées à la sécurité. En plus des modifications de sécurité pour les vulnérabilités, les mises à jour incluent des mises à jour de défense en profondeur pour aider à améliorer les fonctionnalités liées à la sécurité », a ajouté Microsoft.

CISA recommande

La Cybersecurity and Infrastructure Security Agency (CISA) a demandé aux utilisateurs et aux administrateurs d’appliquer les correctifs Microsoft de novembre 2021 pour une meilleure protection contre les cybermenaces croissantes. L’agence a récemment publié une directive opérationnelle contraignante (BOD) pour réduire le risque de vulnérabilités activement exploitées. La nouvelle directive, qui s’applique à tous les logiciels et matériels trouvés sur les systèmes d’information fédéraux, exige des agences civiles fédérales qu’elles remédient à ces vulnérabilités dans des délais précis.