Adobe, Apple, Google et Microsoft Corrigent les bogues de 0 jour

Microsoft aujourd'hui publié des mises à jour logicielles pour corriger au moins cinq douzaines de failles de sécurité dans Fenêtres et logiciels pris en charge, y compris des correctifs pour deux vulnérabilités zero-day déjà exploitées. Aussi, Adobe, À propos de Google Chrome et Pour Apple iOS les utilisateurs peuvent avoir leur propre correctif zero-day à faire.

Le Sept. 7, chercheurs à Laboratoire Citoyen averti ils voyaient une exploitation active d'un " zéro clic”, jour zéro faille pour installer des logiciels espions sur des appareils iOS sans aucune interaction de la victime.

“La chaîne d'exploitation était capable de compromettre les iPhones exécutant la dernière version d'iOS (16.6) sans aucune interaction de la victime”, ont écrit les chercheurs.

Selon Citizen Lab, l'exploit utilise des images malveillantes envoyées via Messagerie instantanée, un composant intégré de l'iOS d'Apple qui a été à l'origine des défauts précédents du zéro clic dans les iPhones et iPads.

Apple dit que la faille iOS (Numéro de série: CVE-2023-41064) ne semble pas fonctionner contre les appareils qui ont son ultra-paranoïaque “Mode de Verrouillage"activé. Cette fonctionnalité restreint les fonctionnalités iOS non essentielles pour réduire la surface d'attaque globale de l'appareil, et elle a été conçue pour les utilisateurs craignant d'être soumis à des attaques ciblées. Citizen Lab dit que le bogue qu'il a découvert était exploité pour installer un logiciel espion fabriqué par la société israélienne de cybersurveillance GroupeSO.

Cette vulnérabilité est corrigée dans iOS 16.6.1 et iPadOS 16.6.1 sont également pris en charge. Pour activer le mode de verrouillage dans iOS 16, accédez à Paramètres, puis Confidentialité et sécurité, puis Mode de verrouillage.

Pour ne pas être exclu du plaisir du jour zéro, Google reconnu le Sept. 11 qu'il s'agissait d'un exploit pour une débordement de tas un bogue dans Chrome est exploité dans la nature. Google dit qu'il publie des mises à jour pour corriger la faille, et que le redémarrage de Chrome est le moyen d'appliquer toutes les mises à jour en attente. Fait intéressant, Google indique que ce bogue a été signalé par Apple et Citizen Lab.

Sur le front de Microsoft, un jour zéro en Mot de Microsoft est parmi les bugs les plus préoccupants corrigés aujourd'hui. Suivi comme Numéro de série: CVE-2023-36761, il est signalé comme une vulnérabilité de” divulgation d'informations". Mais cette description saisit à peine la sensibilité des informations potentiellement exposées ici.

Tom Bowyer a écrit:, responsable de la sécurité des produits chez Boîte Automatique, a déclaré que l'exploitation de cette vulnérabilité pourrait conduire à la divulgation de Hachages Net-NTLMv2, qui sont utilisés pour l'authentification dans les environnements Windows.

” Si un acteur malveillant accède à ces hachages, il peut potentiellement usurper l'identité de l'utilisateur, obtenant un accès non autorisé à des données et des systèmes sensibles", a déclaré Bowyer, notant que CVE-2023-36761 peut être exploité simplement en visualisant un document malveillant dans le volet d'aperçu de Windows. "Ils pourraient également mener des attaques pass-the-hash, où l'attaquant utilise la version hachée d'un mot de passe pour s'authentifier sans avoir besoin de le déchiffrer.”

L'autre jour zéro de Windows corrigé ce mois-ci est Numéro de série: CVE-2023-36802. Il s'agit d'une faille “d'élévation de privilèges” dans le “Proxy du service de streaming Microsoft”, qui est intégré aux versions Windows 10, 11 et Windows Server. Microsoft affirme qu'un attaquant qui réussit à exploiter le bogue peut obtenir des privilèges de niveau SYSTÈME sur un ordinateur Windows.

Cinq des failles corrigées par Microsoft ce mois-ci ont obtenu sa note “critique”, que le géant du logiciel réserve aux vulnérabilités qui peuvent être exploitées par des logiciels malveillants ou des mécontents avec peu ou pas d'interaction par les utilisateurs de Windows.

Selon le Centre de Tempête SANS Internet, le bogue critique le plus grave du Patch Tuesday de septembre est Numéro de série: CVE-2023-38148, ce qui est une faiblesse dans le Partage de Connexion Internet service sous Windows. Microsoft affirme qu'un attaquant non authentifié pourrait tirer parti de la faille pour installer un logiciel malveillant en envoyant simplement un paquet de données spécialement conçu à un système Windows vulnérable.

Enfin, Adobe a publié des mises à jour de sécurité critiques pour son Lecteur Adobe et Acrobate logiciel qui corrige également une vulnérabilité zero-day (Numéro CVE-2023-26369). Plus de détails sont à Conseil d'Adobe.

Pour une ventilation plus détaillée des mises à jour Windows publiées aujourd'hui, consultez Microsoft Patch Tuesday par Morphus Labs. En attendant, envisagez de sauvegarder vos données avant de mettre à jour Windows et gardez un œil sur AskWoody.com pour les rapports de problèmes généralisés avec l'une des mises à jour publiées dans le cadre du Patch Tuesday de septembre.