Neuf nouvelles révélations Vulnérabilités avec des scores de risque élevés dans les produits de certains des fournisseurs les plus utilisés ont fait de novembre un mois chargé pour les équipes de sécurité, avec un nombre relativement élevé de bogues divulgués affectant Microsoft, un zero-day dans Google Chromium s’avérant un problème quelque peu grave, et la réapparition d’une vulnérabilité Oracle connue a démontré que la nouveauté n’est pas nécessairement un bonus pour les acteurs de la menace, Selon la dernière analyse mensuelle, les chercheurs de Futur enregistré.

Recorded Future, qui effectue son propre tour d’horizon des vulnérabilités grâce à son opération de recherche interne Insikt Group depuis plusieurs mois maintenant, a déclaré que novembre avait été un mois exceptionnel, en particulier pour Microsoft, qui a publié des correctifs. pour un total de six jours zéro le 9 novembre.

Parmi celles-ci, a-t-il déclaré, les plus percutantes étaient deux vulnérabilités de la fonction de sécurité Mark of the Web (MotW), qui est censée être une sauvegarde pour montrer que les fichiers téléchargés sur Internet sont sûrs, mais si elles sont contournées, elles peuvent facilement entraîner le déclenchement de code malveillant.

Ses chercheurs ont également signalé une vulnérabilité d’exécution de code à distance (RCE) et d’élévation de privilèges (EoP) dans Microsoft Exchange Server qui, lorsqu’elle est enchaînée, forme l’exploit précédemment divulgué. connu sous le nom de ProxyNotShell.

« Compte tenu de sa domination en tant que système d’exploitation pour les utilisateurs individuels et les environnements d’entreprise, Microsoft Windows est toujours une cible pour l’exploitation des vulnérabilités », ont déclaré les chercheurs d’Insikt Group, « mais la récolte exceptionnelle de vulnérabilités zero-day associées à Microsoft Windows en novembre 2022 était surprenante même au milieu d’une année de nombre très médiatisé et souvent élevé de zero-day. »

Pendant ce temps, l’équipe de Google a corrigé CVE-2022-4135, un RCE zero-day dans le navigateur Web Google Chrome, après avoir trouvé des acteurs de la menace l’exploitant dans la nature. Il s’agit du huitième jour zéro de Chrome à avoir été trouvé en 2022, et exploité avec succès provoque un débordement de tampon de tas dans trois versions de Chrome.

Le groupe Insikt a déclaré que, compte tenu de l’utilisation généralisée de Chrome et des navigateurs basés sur Chrome, cette question mérite une attention particulière.

« Les navigateurs Web comme Microsoft Edge, Brave, Opera et Vivaldi sont également vulnérables aux exploits de cette faille car ils sont basés sur Chromium, ce qui signifie que, ironiquement, la divulgation de Google a ajouté au moins une vulnérabilité zero-day supplémentaire à la liste de celles dont les défenseurs de Microsoft doivent s’inquiéter », ont-ils déclaré.

En outre, une autre vulnérabilité dans Google Chrome, suivi sous le nom CVE-2022-4262, a été divulgué et ajouté à la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis. Vulnérabilités exploitées connues (KEV) au 2 décembre.

CVE-2022-4262 est une vulnérabilité de confusion de type V8 dans le moteur Chromium V8, et Google a déclaré qu’il était au courant d’un exploit dans la nature. Il a été corrigé dans une mise à jour déployée la semaine dernière, mais son inclusion dans le catalogue KEV – une liste de bogues importants que les organisations gouvernementales américaines sont obligées de corriger sur un calendrier mensuel continu – signifie qu’il mérite une attention immédiate de la part des équipes de sécurité de l’entreprise.

Apparaissant également sur la liste de Recorded Future, et ajouté au catalogue KEV au cours des quinze derniers jours, CVE-2022-35587, une vulnérabilité RCE dans Oracle Fusion Middleware Access Manager qui a exploité avec succès, permet à un acteur non authentifié avec un accès réseau via HTTP de prendre le contrôle d’Access Manager. Cela porte un score de base CVSS de 9,8 et n’est pas difficile à exploiter – et pire, il a été initialement divulgué en janvier 2022, mais est réapparu depuis.

L’exploitation active de la vulnérabilité fait suite à la divulgation d’exploits de preuve de concept (POC) pour la vulnérabilité, qui sont disponibles depuis « plusieurs mois », selon Semaine de la sécurité», a déclaré l’équipe d’Insikt.

Outre les six jours zéro de Microsoft et les autres décrits ci-dessus, l’équipe Insikt a également répertorié trois autres vulnérabilités notables de novembre qui ne sont peut-être pas aussi répandues, mais qui auront un impact particulier sur celles qu’elles affectent.

Il s’agit de CVE-2022-38374 dans le service d’authentification/autorisation d’applications Web FortiADC de Fortinet, CVE-2022-39307 dans la plate-forme de visualisation de données de Grafana et de CVE-2022-43781 dans le référentiel de code source BitBucket Git d’Atlassian.

L’équipe a observé qu’Atlassian et Fortinet ont déjà constaté une exploitation critique des vulnérabilités en 2022, et a souligné que la vulnérabilité Fortinet dans particulier « est le type de vulnérabilité qui est attrayant pour les criminels ou les groupes d’États-nations qui cherchent à compromettre un élément clé de l’infrastructure réseau ».