Microsoft corrige 6 failles Zero-day dans la mise à jour du mardi du correctif de décembre 2021

Microsoft a publié des correctifs pour 67 CVE dans sa dernière mise à jour Patch Tuesday de décembre 2021. Sur 67 vulnérabilités, 60 ont été jugées importantes et sept critiques. Six vulnérabilités zero-day ont également été corrigées, qui étaient exploitées à l’état sauvage.

La mise à jour du Patch Tuesday de décembre 2021 a résolu les vulnérabilités affectant Microsoft Office, Microsoft PowerShell, le navigateur Edge basé sur Chromium, le noyau Windows, le spouleur d’impression et le client de bureau à distance.

• CVE-2021-43890: Une vulnérabilité d’usurpation d’identité dans Windows AppX Installer est une vulnérabilité zero-day et en cours d’exploitation. Microsoft se dit “au courant des attaques qui tentent d’exploiter cette vulnérabilité en utilisant des packages spécialement conçus qui incluent la famille de logiciels malveillants connue sous le nom d’Emotet/Trickbot/Bazaloader”. Cela pourrait être utilisé pour lancer des campagnes de phishing.
• CVE-2021-41333 : La vulnérabilité d’élévation des privilèges du spouleur d’impression Windows a été rendue publique et présente une faible complexité d’attaque.
• CVE-2021-43880: La vulnérabilité d’élévation des privilèges (EoP) de la gestion des appareils Windows Mobile a été rendue publique mais n’a pas été exploitée. L’attaquant ne peut supprimer que les fichiers ciblés sur un système, mais ne peut pas obtenir les privilèges pour afficher ou modifier le contenu des fichiers.
• CVE-2021-43893: La vulnérabilité d’élévation des privilèges du système de fichiers de cryptage Windows (EFS) a été signalée par James Forshaw de Google Project Zero. La vulnérabilité a été rendue publique mais n’a pas été exploitée.
• CVE-2021-43240: NTFS Set Short Name Elevation of Privilege La vulnérabilité a été rendue publique mais n’est pas connue pour être exploitée.
• CVE-2021-43883: La vulnérabilité d’élévation des privilèges de Windows Installer a été rendue publique mais n’est pas connue pour être exploitée.

Pour #PatchTuesday, @briankrebs partage un tour d’horizon des mises à jour de sécurité de Microsoft, Adobe et Google, incl. Correctif de Microsoft pour le contournement des correctifs CVE-2021-43883, une vulnérabilité d’élévation de privilèges dans Windows Installer.

Notre personnel ingénieur de recherche @satnam avec plus : https://t.co/L6OtRiTatk

– Tenable (@TenableSecurity) 15 décembre 2021

Tenable a identifié trois vulnérabilités comme critiques :

• CVE-2021-43215 est une vulnérabilité de corruption de mémoire dans le protocole Internet Storage Name Service (iSNS).
• CVE-2021-43905 est une vulnérabilité RCE dans l’application Microsoft Office.
• CVE-2021-43233 est un RCE dans le client Bureau à distance.

Brian Krebs, sur krebsonsecurity.com, a déclaré : « Les correctifs Microsoft incluent six failles de sécurité précédemment divulguées et une qui est déjà activement exploitée. Le Patch Tuesday de ce mois-ci est éclipsé par l’exploit “Log4Shell” de 0 jour dans une bibliothèque Java populaire que les administrateurs de serveurs Web s’efforcent maintenant de trouver et de corriger au milieu d’une exploitation généralisée de la faille.

La vulnérabilité d’exécution de code à distance (RCE) « Log4Shell » dans la bibliothèque Apache Log4j permet aux attaquants d’exécuter du code arbitraire et de prendre le contrôle total des appareils vulnérables. Il s’agit d’une bibliothèque de journalisation Java populaire exploitée par de nombreuses organisations dans le monde entier pour permettre la journalisation dans un large éventail d’applications populaires. Il est considéré comme l’un des défauts les plus dévastateurs et nous commençons tout juste à explorer la pointe de l’iceberg. Lire l’histoire complète ici.