Microsoft a publié sa série mensuelle de mises à jour Patch Tuesday pour répondre 84 nouvelles failles de sécurité couvrant plusieurs catégories de produits, en comptant une vulnérabilité zero-day qui fait l’objet d’attaques actives dans la nature.

Sur les 84 lacunes, quatre sont classées critiques et 80 sont classées importantes en termes de gravité. Également résolus séparément par le géant de la technologie sont deux autres bugs dans le navigateur Edge basé sur Chromium, dont l’un corrige une autre faille zero-day que Google a révélée comme étant activement exploitée dans des attaques réelles.

Le haut de la liste des mises à jour de ce mois est CVE-2022-22047 (score CVSS : 7,8), un cas d’élévation de privilèges dans le sous-système d’exécution Windows Client Server (CSRSS) qui pourrait être exploitée par un attaquant pour obtenir des autorisations SYSTEM.

« Avec ce niveau d’accès, les attaquants sont en mesure de désactiver les services locaux tels que les outils de détection et de sécurité des terminaux », a déclaré Kev Breen, directeur de la recherche sur les cybermenaces chez Immersive Labs, à The Hacker News. « Avec l’accès SYSTEM, ils peuvent également déployer des outils comme Mimikatz qui peuvent être utilisés pour récupérer encore plus de comptes au niveau de l’administrateur et du domaine, propageant ainsi la menace rapidement. »

On sait très peu de choses sur la nature et l’ampleur des attaques autres qu’une évaluation « Exploitation Detected » de Microsoft. Le Threat Intelligence Center (MSTIC) et le Security Response Center (MSRC) de la société ont été crédités d’avoir signalé la faille.

Outre CVE-2022-22047, deux autres failles d’élévation de privilèges ont été corrigées dans le même composant — CVE-2022-22026 (score CVSS : 8,8) et CVE-2022-22049 (score CVSS : 7,8) – qui ont été rapportés par le chercheur de Google Project Zero, Sergei Glazunov.

« Un attaquant authentifié localement pourrait envoyer des données spécialement conçues au service CSRSS local pour élever ses privilèges de Conteneur d’application au SYSTÈME », a déclaré Microsoft dans un avis pour CVE-2022-22026.

« Étant donné que l’environnement AppContainer est considéré comme une limite de sécurité défendable, tout processus capable de contourner la limite est considéré comme un changement de portée. L’attaquant pourrait alors exécuter du code ou accéder à des ressources à un niveau d’intégrité supérieur à celui de l’environnement d’exécution AppContainer. « 

Microsoft a également corrigé un certain nombre de bogues d’exécution de code à distance dans Windows Network File System (CVE-2022-22029 et CVE-2022-22039), graphiques Windows (CVE-2022-30221), Exécution d’appel de procédure distante (CVE-2022-22038) et le shell Windows (CVE-2022-30222).

La mise à jour se distingue en outre par la correction de jusqu’à 32 problèmes dans le Service de récupération après sinistre Azure Site Recovery. Deux de ces failles sont liées à l’exécution de code à distance et les 30 restantes concernent l’élévation de privilèges.

« Exploitation réussie […] nécessite qu’un attaquant compromette les informations d’identification de l’administrateur sur l’une des machines virtuelles associées au serveur de configuration « , a déclaré la société, ajoutant que les failles  » ne permettent pas la divulgation d’informations confidentielles, mais pourraient permettre à un attaquant de modifier des données qui pourraient entraîner le service étant indisponible. »

En plus de cela, la mise à jour de juillet de Microsoft contient également des correctifs pour quatre vulnérabilités d’escalade de privilèges dans le module Windows Print Spooler (CVE-2022-22022, CVE-2022-22041, CVE-2022-30206et CVE-2022-30226) après un bref répit en juin 2022, soulignant ce qui semble être un flot incessant de failles qui affligent la technologie.

Pour compléter les mises à jour du Patch Tuesday, il y a deux correctifs notables pour la falsification des vulnérabilités dans le service Windows Server (CVE-2022-30216) et Microsoft Defender pour Endpoint (CVE-2022-33637) et trois failles de déni de service (DoS) dans Internet Information Services (CVE-2022-22025 et CVE-2022-22040) et gestionnaire de compte de sécurité (CVE-2022-30208).

Correctifs logiciels d’autres fournisseurs

En plus de Microsoft, des mises à jour de sécurité ont également été publiées par d’autres fournisseurs depuis le début du mois pour corriger plusieurs vulnérabilités, notamment —