Microsoft a publié mardi des correctifs pour 58 failles de sécurité nouvellement découvertes couvrant jusqu’à 11 produits et services dans le cadre de sa finale Patch mardi de 2020, ce qui porte effectivement leur total CVE à 1 250 pour l’année.
Sur ces 58 correctifs, neuf sont classés comme critiques, 46 sont classés comme importants et trois sont de gravité modérée.
La version de sécurité de décembre résout des problèmes dans Microsoft Windows, le navigateur Edge, ChakraCore, Microsoft Office, Exchange Server, Azure DevOps, Microsoft Dynamics, Visual Studio, Azure SDK et Azure Sphere.
Heureusement, aucune de ces failles ce mois-ci n’a été signalée comme étant publiquement connue ou activement exploitée dans la nature.
Les correctifs de décembre concernent un certain nombre de failles d’exécution de code à distance (RCE) dans Microsoft Exchange (CVE-2020-17132), SharePoint (CVE-2020-17118 et CVE-2020-17121), Excel (CVE-2020-17123), et le logiciel de virtualisation Hyper-V (CVE-2020-17095), ainsi qu’un correctif pour un contournement des fonctionnalités de sécurité dans Kerberos (CVE-2020-16996), et un certain nombre de failles d’élévation de privilèges dans Windows Backup Engine et Windows Cloud Files Mini Pilote de filtre.
CVE-2020-17095 porte également le score CVSS le plus élevé de 8,5 parmi toutes les vulnérabilités traitées dans la version de ce mois.
«Pour exploiter cette vulnérabilité, un attaquant pourrait exécuter une application spécialement conçue sur un invité Hyper-V, ce qui pourrait amener le système d’exploitation hôte Hyper-V à exécuter du code arbitraire lorsqu’il ne parvient pas à valider correctement les données de paquets vSMB,» Microsoft c’est noté.
De plus, dans le cadre de la sortie de ce mois, un consultatif pour un Empoisonnement du cache DNS vulnérabilité (CVE-2020-25705) découverte par des chercheurs en sécurité de l’Université Tsinghua et de l’Université de Californie le mois dernier.
Surnommée attaque DNS Side-channel AttackeD (ou attaque DNS SAD), la faille pourrait permettre à un attaquant d’usurper le paquet DNS, qui peut être mis en cache par le redirecteur DNS ou le résolveur DNS, réactivant ainsi les attaques d’empoisonnement du cache DNS.
Pour atténuer le risque, Microsoft recommande une solution de contournement du registre qui consiste à modifier la taille maximale du paquet UDP à 1 221 octets (4C5 hexadécimal).
« Pour les réponses supérieures à 4C5 ou 1221, le résolveur DNS passerait désormais à TCP », a déclaré le fabricant de Windows dans son avis.
Étant donné que l’attaque repose sur l’envoi de messages UDP (User Datagram Protocol) usurpés pour vaincre la randomisation du port source pour les requêtes DNS, la mise en œuvre du réglage entraînera le basculement de requêtes DNS plus importantes vers TCP, atténuant ainsi la faille.
Il est vivement conseillé aux utilisateurs Windows et aux administrateurs système d’appliquer les derniers correctifs de sécurité pour résoudre les menaces associées à ces problèmes.
Pour installer les dernières mises à jour de sécurité, les utilisateurs de Windows peuvent se diriger vers Démarrer> Paramètres> Mise à jour et sécurité> Windows Update, ou en sélectionnant Rechercher les mises à jour Windows.
