Le géant de la technologie Microsoft a livré mardi des correctifs pour annuler 64 nouvelles failles de sécurité dans toute sa gamme de logiciels, y compris une faille zero-day qui a été activement exploitée dans des attaques réelles.

Sur les 64 bogues, cinq sont classés critiques, 57 sont classés importants, un est classé modéré et un est classé faible en gravité. Les patchs s’ajoutent à 16 vulnérabilités que Microsoft a abordé dans son navigateur Edge basé sur Chromium plus tôt ce mois-ci.

« En termes de CVE publiés, ce Patch Tuesday peut apparaître plus léger par rapport aux autres mois », a déclaré Bharat Jogi, directeur de la recherche sur les vulnérabilités et les menaces chez Qualys, dans un communiqué partagé avec The Hacker News.

« Cependant, ce mois-ci a franchi une étape importante pour l’année civile, MSFT ayant fixé le 1000e CVE de 2022 – probablement en voie de dépasser 2021 qui a corrigé 1 200 CVE au total. »

La vulnérabilité activement exploitée en question est CVE-2022-37969 (score CVSS : 7,8), une faille d’élévation de privilèges affectant le système de fichiers journaux Windows Common (CLFS) Driver, qui pourrait être exploité par un adversaire pour obtenir des privilèges SYSTEM sur un actif déjà compromis.

« Un attaquant doit déjà avoir accès et la capacité d’exécuter du code sur le système cible. Cette technique ne permet pas l’exécution de code à distance dans les cas où l’attaquant n’a pas déjà cette capacité sur le système cible », a déclaré Microsoft dans un avis.

Le géant de la technologie a crédité quatre groupes différents de chercheurs de CrowdStrike, DBAPPSecurity, Mandiant et Zscaler pour avoir signalé la faille, ce qui peut être une indication d’une exploitation généralisée dans la nature, a déclaré Greg Wiseman, chef de produit chez Rapid7, dans un communiqué.

CVE-2022-37969 est également la deuxième faille zero-day activement exploitée dans le composant CLFS après CVE-2022-24521 (score CVSS : 7,8), cette dernière ayant été résolue par Microsoft dans le cadre de ses mises à jour d’avril 2022.

Il n’est pas immédiatement clair si CVE-2022-37969 est un contournement de correctif pour CVE-2022-24521. Les autres défauts critiques à noter sont les suivants –

• CVE-2022-34718 (Score CVSS : 9,8) – Vulnérabilité d’exécution de code à distance TCP/IP sous Windows
• CVE-2022-34721 (Score CVSS : 9,8) – Extensions du protocole Windows Internet Key Exchange (IKE) Vulnérabilité d’exécution de code à distance
• CVE-2022-34722 (Score CVSS : 9,8) – Extensions du protocole Windows Internet Key Exchange (IKE) Vulnérabilité d’exécution de code à distance
• CVE-2022-34700 (Score CVSS : 8,8) – Vulnérabilité d’exécution de code à distance dans Microsoft Dynamics 365 (sur site)
• CVE-2022-35805 (Score CVSS : 8,8) – Vulnérabilité d’exécution de code à distance dans Microsoft Dynamics 365 (sur site)

« Un attaquant non authentifié pourrait envoyer un paquet IP spécialement conçu à une machine cible exécutant Windows et sur laquelle IPSec est activé, ce qui pourrait permettre une exploitation de l’exécution de code à distance », a déclaré Microsoft à propos de CVE-2022-34721 et CVE-2022-34722.

Microsoft a également résolu 15 failles d’exécution de code à distance dans Pilote Microsoft ODBCfournisseur Microsoft OLE DB pour SQL Server et Microsoft SharePoint Server et cinq bogues d’escalade de privilèges couvrant Windows Kerberos et le noyau Windows.

La version de septembre est en outre remarquable pour avoir corrigé une autre vulnérabilité d’élévation des privilèges dans le module Print Spooler (CVE-2022-38005, score CVSS : 7,8) qui pourrait être utilisée de manière abusive pour obtenir des autorisations au niveau du SYSTÈME.

Enfin, la série de mises à jour de sécurité comprend un correctif publié par le fabricant de puces Arm pour une vulnérabilité d’exécution spéculative appelée Branch History Injection ou Spectre-BHB (CVE-2022-23960) qui a été révélé plus tôt en mars.

« Cette classe de vulnérabilités pose un gros casse-tête aux organisations qui tentent de les atténuer, car elles nécessitent souvent des mises à jour des systèmes d’exploitation, des micrologiciels et, dans certains cas, une recompilation des applications et un renforcement », a déclaré Jogi. « Si un attaquant réussit à exploiter ce type de vulnérabilité, il pourrait accéder à des informations sensibles. »

Correctifs logiciels d’autres fournisseurs

Outre Microsoft, des mises à jour de sécurité ont également été publiées par d’autres fournisseurs depuis le début du mois pour corriger des dizaines de vulnérabilités, notamment –