Microsoft Patch Édition du mardi août 2023

Société Microsoft. a publié aujourd'hui des mises à jour logicielles pour combler plus de 70 failles de sécurité dans ses Fenêtres systèmes d'exploitation et produits associés, y compris plusieurs vulnérabilités zero-day actuellement exploitées dans la nature.

Six des failles corrigées aujourd'hui ont obtenu la note “critique” de Microsoft, ce qui signifie que des logiciels malveillants ou des mécréants pourraient les utiliser pour installer des logiciels sur un système Windows vulnérable sans aucune aide des utilisateurs.

Le mois dernier, Microsoft a reconnu une série de vulnérabilités zero-day dans une variété de produits Microsoft qui ont été découvertes et exploitées dans des attaques sauvages. Ils se sont vu attribuer une seule désignation d'espace réservé de Numéro de série: CVE-2023-36884.

Satnam Nérang, ingénieur de recherche senior chez Tenable, a déclaré que les adresses des lots de correctifs d'août Numéro de série: CVE-2023-36884, ce qui implique de contourner le Sécurité de la Recherche Windows caractéristique.

"Microsoft a également publié ADV230003, une mise à jour de défense en profondeur conçue pour arrêter la chaîne d'attaque associée qui conduit à l'exploitation de ce CVE”, a déclaré Narang. "Étant donné que cela a déjà été exploité avec succès dans la nature en tant que jour zéro, les organisations doivent prioriser la correction de cette vulnérabilité et l'application de la mise à jour de défense en profondeur dès que possible.”

Redmond a corrigé une autre faille qui voit déjà des attaques actives — Numéro de série: CVE-2023-38180 - une faiblesse dans . NET et Studio Visuel cela conduit à une condition de déni de service sur les serveurs vulnérables.

"Bien que l'attaquant doive se trouver sur le même réseau que le système cible, cette vulnérabilité ne nécessite pas que l'attaquant ait acquis des privilèges d'utilisateur”, a écrit sur le système cible Nicolas Cemerikic, ingénieur en cybersécurité chez Immersive Labs.

Narang a déclaré que le géant du logiciel avait également corrigé six vulnérabilités dans Serveur Microsoft Exchange, y compris Modèle: CVE-2023-21709, une faille d'élévation de privilèges à laquelle un score CVSSv3 (menace) de 9,8 sur 10 possibles a été attribué, même si Microsoft la considère comme une faille importante et non critique.

"Un attaquant non authentifié pourrait exploiter cette vulnérabilité en menant une attaque par force brute contre des comptes d'utilisateurs valides”, a déclaré Narang. "Malgré la note élevée, la croyance est que les attaques par force brute ne réussiront pas contre les comptes avec des mots de passe forts. Cependant, si des mots de passe faibles sont utilisés, cela rendrait les tentatives de force brute plus efficaces. Les cinq vulnérabilités restantes vont d'une faille d'usurpation d'identité et de plusieurs bogues d'exécution de code à distance, bien que les plus graves nécessitent également des informations d'identification pour un compte valide.”

Experts en entreprise de sécurité Boîte Automatique attiré l'attention sur Numéro de série: CVE-2023-36910, un bogue d'exécution de code à distance dans le service Microsoft Message Queuing qui peut être exploité à distance et sans privilèges pour exécuter du code sur des systèmes Windows 10, 11 et Server 2008-2022 vulnérables. Microsoft dit qu'il considère cette vulnérabilité “moins susceptible” d'être exploitée, et Automox dit que bien que le service de mise en file d'attente des messages ne soit pas activé par défaut dans Windows et soit moins courant aujourd'hui, tout appareil avec lui activé est à risque critique.

Séparément, Adobe a émis une mise à jour de sécurité critique pour Acrobat et Reader qui résout au moins 30 vulnérabilités de sécurité dans ces produits. Adobe a déclaré qu'il n'était au courant d'aucun exploit dans la nature ciblant ces failles. La société a également publié des mises à jour de sécurité pour Commerce d'Adobe et Dimension d'Adobe.

Si vous rencontrez des problèmes ou des problèmes d'installation de l'un de ces correctifs ce mois-ci, pensez à laisser un commentaire à ce sujet ci-dessous; il y a de fortes chances que d'autres lecteurs aient vécu la même chose et puissent intervenir ici avec des conseils utiles.

Lectures complémentaires:

- Centre de Tempête SANS Internet inscription de chaque vulnérabilité Microsoft corrigée aujourd'hui, indexée par gravité et composant affecté.

–AskWoody.com, qui garde un œil sur tout problème en développement lié à la disponibilité ou à l'installation de ces mises à jour.