Hier était le deuxième mardi du mois, ce qui signifie que Microsoft déploie des correctifs pour les vulnérabilités de sécurité détectées dans Windows et ses autres produits. Le deuxième lot de mises à jour de sécurité de cette année apporte des correctifs pour 56 vulnérabilités, y compris une faille zero-day qui est activement exploitée dans la nature.

L’élévation de la vulnérabilité aux failles de privilège, suivie CVE-2021-1732 et classé comme «important» sur le Système commun de notation des vulnérabilités (CVSS), réside dans le composant noyau Win32k de Windows. Selon le Institut de technologie SANS, il s’agit d’une vulnérabilité locale et «un attaquant devrait avoir un accès local à la machine (console ou SSH par exemple) ou s’appuyer sur l’interaction de l’utilisateur, comme un utilisateur ouvrant un document malveillant».

La faille de sécurité a incité une réponse de la Cybersecurity and Infrastructure Security Agency (CISA) qui a publié un avis de sécurité: «CISA encourage les utilisateurs et les administrateurs à consulter l’avis Microsoft pour CVE-2021-1732 et à appliquer le correctif nécessaire aux serveurs Windows 10 et Windows 2019.»

Au-delà du bogue du jour zéro, la dernière série de mises à jour inclut également des correctifs pour 11 failles de sécurité qui ont reçu le plus haut classement de «critique», tandis que 6 failles de sécurité sont répertoriées comme étant publiquement connues au moment de la publication. La grande majorité des autres ont été classées comme «importantes» et deux ont été classées comme «modérées» en termes de gravité.

LECTURE CONNEXE: Google: un meilleur correctif aurait pu empêcher 1 jour zéro sur 4 l’année dernière

Parmi celles classées comme critiques, quatre vulnérabilités ont obtenu un «score presque parfait» de 9,8 sur 10 sur l’échelle CVSS et ont été classées comme vulnérabilités d’exécution de code à distance (RCE).

Le premier, suivi comme CVE-2021-24078, peuvent être trouvés dans le serveur DNS Microsoft et pourraient permettre à un attaquant distant d’exécuter du code arbitraire avec un service sur l’hôte cible. Le SANS Institute a également averti que puisque le bogue ne nécessite aucune interaction de l’utilisateur, il pourrait potentiellement être vermifuge.

Pendant ce temps, deux autres ECR critiques répertoriés comme CVE-2021-24074 et CVE-2021-24094 ont été trouvés pour affecter l’implémentation TCP / IP de Windows. Même si Microsoft a dit qu’il serait difficile de créer des exploits fonctionnels pour eux, le géant de Redmond pense que les attaquants pourraient les exploiter avec une vulnérabilité de déni de service (DoS) suivie comme CVE-2021-24086 dans une attaque DoS.

Des mises à jour de sécurité ont été publiées pour différentes versions de produits Windows, Microsoft Office, Skype Entreprise ainsi que d’autres offres du portefeuille Microsoft.

Comme toujours, il est conseillé aux administrateurs système et aux utilisateurs réguliers d’appliquer les correctifs dès que possible.