Il y a (à partir de maintenant) 51 correctifs pour l’écosystème Windows pour février, mais aucune mise à jour critique et aucune recommandation « Patch Now » de l’équipe de préparation. J’espère qu’avec la liste des mises à jour du Patch Tuesday de ce mois-ci, nous pourrons profiter du calme après la tempête. Janvier a été difficile pour beaucoup de gens. Et, avec la version très légère de Microsoft de ce mois-ci, les administrateurs système et de sécurité d’entreprise peuvent prendre le temps nécessaire pour tester leurs applications et leurs versions de bureau/serveur. Il est également important d’investir dans leurs méthodologies de test, leurs pratiques de publication et la manière dont leurs applications peuvent être affectées par les mises à jour et les correctifs au niveau du système d’exploitation.

Vous pouvez trouver plus d’informations sur le risque de déploiement de ces mises à jour Patch Tuesday grâce à notre infographie détaillée.

Principaux scénarios de test

Aucune modification à haut risque n’a été signalée pour Windows ce mois-ci. Cependant, un changement fonctionnel a été signalé et une fonctionnalité supplémentaire a été ajoutée :

• Impression : Effectuez toutes les opérations d’impression de base avec plusieurs types d’imprimantes. Effectuez des opérations d’impression avec diverses applications tierces. Plus important encore, testez vos services de spouleur d’impression sur tous les serveurs de services partagés (par exemple, les contrôleurs de domaine).
• VPN : Validez la connectivité VPN à l’aide de connexions VPN existantes/nouvelles (Créer/Connecter/Supprimer).
• Mises à jour du noyau : toutes les applications qui reposent sur DirectComposition devrait fonctionner comme prévu.
• CFS Logs Testez Créer/Lire/Mettre à jour/Étendre/Trim.

Lorsque vous testez vos services d’impression, assurez-vous de valider votre bobineuse et SHD (fichiers fantômes). Le test de ces artefacts de service est particulièrement important si vous utilisez des liens symboliques ou matériels pour accéder à ces tâches.

Problèmes connus

Chaque mois, Microsoft inclut une liste des problèmes connus liés au système d’exploitation et aux plateformes inclus dans ce cycle de mise à jour. Il y en a plus que d’habitude, j’ai donc fait référence à quelques problèmes clés liés aux dernières versions de Microsoft, notamment :

• Les appareils avec des installations Windows créées à partir d’un support hors ligne personnalisé ou d’une image ISO personnalisée peuvent avoir Microsoft Edge Legacy supprimé par cette mise à jour, mais pas automatiquement remplacé par le nouveau Microsoft Edge. Pour éviter ce problème, assurez-vous d’abord de diffuser le SSU publié le 29 mars 2021 ou ultérieurement dans le support hors ligne personnalisé ou l’image ISO avant de diffuser le LCU.
• Après l’installation KB4493509, les appareils sur lesquels certains modules linguistiques asiatiques sont installés peuvent recevoir l’erreur « 0x800f0982 – PSFX_E_MATCHING_COMPONENT_NOT_FOUND ». Pour résoudre ce problème, Microsoft vous recommande de « désinstaller et de réinstaller tous les modules linguistiques récemment ajoutés ». Pour obtenir des instructions, consultez Gérer les paramètres de langue de saisie et d’affichage dans Windows 10.
• Après l’installation de cette mise à jour, lors de la connexion à des appareils dans un domaine non approuvé à l’aide du Bureau à distance, les connexions peuvent ne pas s’authentifier lors de l’utilisation de l’authentification par carte à puce. Vous pouvez recevoir l’invite « Vos informations d’identification n’ont pas fonctionné. Les informations d’identification qui ont été utilisées pour se connecter à [device name] n’a pas marché. Microsoft a publié une annulation de problème connu pour ce problème. Pour plus d’instructions, voir Comment utiliser la stratégie de groupe pour déployer une restauration de problème connu.

Après l’installation des mises à jour publiées le 11 janvier ou une version ultérieure, les applications qui utilisent Microsoft .NET Framework pour acquérir ou définir les informations d’approbation de la forêt Active Directory peuvent rencontrer des problèmes. Les applications peuvent échouer ou se fermer, ou vous pouvez recevoir une erreur de l’application ou de Windows. Vous pouvez également recevoir une erreur de violation d’accès (0xc0000005). Pour résoudre ce problème manuellement, appliquez les mises à jour hors bande pour la version du .NET Framework utilisée par l’application. Nous vous recommandons d’analyser votre gamme interne d’applications métier pour détecter toute dépendance vis-à-vis de API System.DirectoryServices.

Révisions majeures

Bien qu’il y ait une liste beaucoup plus petite de correctifs ce mois-ci, Microsoft a publié plusieurs révisions des correctifs précédents, notamment :

• CVE-2019-0887: Il s’agit d’un ancien patch qui a été signalé comme publiquement exploité. En conséquence, Microsoft a ajouté le client Remote Desktop à la liste des plates-formes concernées. Pour garantir la conformité, assurez-vous que la version 1.2.2691 du client de bureau à distance est installée.
• CVE-2021-34500: Il s’agit d’une révision inhabituelle, car Microsoft a élargi la liste des systèmes concernés pour inclure les versions antérieures de Windows 10, Windows 7 et Server 2012. Cela fonctionne généralement dans l’autre sens. Si vous utilisez des versions plus anciennes de Windows, vous devrez peut-être consulter l’article de la base de connaissances Microsoft KB4497181 pour vous assurer que vous disposez de la clé complémentaire ESU MAK appropriée. Cette clé sera nécessaire pour obtenir ce dernier correctif pour ces systèmes hérités.
• CVE-2022-21871: Cette révision de correctif affecte uniquement les utilisateurs de Visual Studio 2019 16.7 et 16.9. C’est purement informatif; aucune action n’est requise.
• CVE-2022-23254: Il s’agit d’un changement d’information au titre de ce patch. Aucune autre action nécessaire.

Atténuations et solutions de contournement

Ce mois-ci, Microsoft a publié deux facteurs atténuants, notamment :

• CVE-2022-21984: Microsoft a publié un très bref facteur atténuant pour ce problème de sécurité lié au DNS, notant que « pour être vulnérable, votre serveur DNS devrait avoir les mises à jour dynamiques activées ». J’espère que ca aide.
• CVE-2022-21907: Microsoft a indiqué que ce problème zero-day au niveau de la pile HTTP ne s’applique pas à Server 2019, sauf si vous avez activé le paramètre de registre suivant : HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters. Cette atténuation s’applique uniquement à Windows Server 2019 et Windows 10, version 1809 et ne s’applique pas à Windows 10, version 20H2 et versions ultérieures. Ainsi, si vous utilisez des plates-formes de bureau et de serveur plus récentes, vous devez appliquer ce correctif dès que possible.

Chaque mois, nous décomposons le cycle de mise à jour en familles de produits (telles que définies par Microsoft) avec les regroupements de base suivants :

• Navigateurs (Microsoft IE et Edge) ;
• Microsoft Windows (bureau et serveur) ;
• Microsoft Office;
• Microsoft Exchange;
• Plateformes de développement Microsoft ( ASP.NET Core, .NET Core et Chakra Core);
• Adobe (retraité ???, peut-être l’année prochaine).

Navigateurs

Il y a un total de 22 (+1) mises à jour du navigateur Microsoft Edge (Chromium) ce mois-ci. Aucun n’est critique, avec un patch classé modéré et le reste classé important. Exceptionnellement, une mise à jour supplémentaire pour Microsoft Edge a été publiée hier (CVE-2022-23246) inclus dans une note de version mise à jour pour Mise à jour de sécurité Microsoft Edge trouvée ici. Ajoutez ces mises à jour Chrome (Edge et Chromium) à votre calendrier de publication de mises à jour régulières.

les fenêtres

Nous espérions une mise à jour plus silencieuse ce mois-ci et Microsoft a vraiment livré – sans mises à jour critiques pour Windows ou Microsoft Office. Étant donné que la version de janvier était volumineuse et complexe, plusieurs problèmes ont été rencontrés, notamment :

Pour remédier à ces problèmes et à d’autres signalés (mineurs), une rare mise à jour hors bande (OOB) est sorti le 17 janvier. Microsoft a publié 26 correctifs ce mois-ci, couvrant Hyper-V, l’impression, les sous-systèmes d’erreur/journalisation, la mise en réseau et les codecs vidéo. Compte tenu des exigences de test pour ces types de modifications du système d’exploitation principal, nous suggérons une approche par étapes et l’ajout de ces mises à jour Windows à votre calendrier de publication de mise à jour standard.

Microsoft Office

Les correctifs de ce mois-ci pour Microsoft Office seront installés sur les versions de référence suivantes :

• Office 2010, 2103, 2016 (client et serveur) ;
• SharePoint 2013 et 2106 (serveur).

Bien que Microsoft ait publié 11 mises à jour (toutes jugées importantes) pour cette version, seules huit s’appliquent aux systèmes Windows. Microsoft a partagé certaines directives de test de base pour les mises à jour, notamment :

• Vérifier les fichiers Excel/scénarios ouverts pour les fichiers XLS non approuvés ;
• Concentrez-vous sur le test du contenu hérité : contrôles ActiveX, images, formes, SmartArt, graphiques, WordArt ;
• SharePoint (sur site) : testez la création d’un nouveau composant WebPart multimédia.

Microsoft a également publié un problème majeur connu avec la mise à jour Office de ce mois-ci, en disant : « Le service de traduction automatique échoue si le contenu contient certaines balises HTML. » Pour contourner ce problème, consultez Les pages de publication ne peuvent pas être traduites dans SharePoint Server 2019 (KB5011291). Toutes les installations de bureaux locaux (à l’exception des instances virtualisées d’exécution en un clic) nécessitent des interactions de l’utilisateur et ne dégradent pas de manière significative le système si elles sont affectées. Ces correctifs représentent un faible risque et ont été documentés pour affecter les fonctionnalités de base (affectant potentiellement les applications métier dépendantes). Ajoutez ces mises à jour à votre calendrier de mise à jour Office standard.

Serveur Microsoft Exchange

Suivant la tendance d’un cycle de correctifs très léger, Microsoft n’a publié aucune mise à jour pour la plate-forme Exchange Server.

Plateformes de développement Microsoft

Les choses sont définitivement légères sur le terrain ce mois-ci, mais nous avons quelques mises à jour très mineures pour les outils de développement Microsoft, y compris deux correctifs pour Visual Studio (CVE-2022-21986 et CVE-2022-21991) Ces deux mises à jour mineures sont jugées importantes par Microsoft et devraient être (presque avec désinvolture) ajoutées à votre calendrier de correctifs de développement standard.

Adobe (vraiment juste Reader)

Adobe a publié plusieurs mises à jour de sécurité ce mois-ci, mais heureusement rien pour Adobe Reader. Vous pouvez trouver Adobe Notes de version de février ici; ce concerne Adobe Premier, Illustrator, Photoshop, After Effects et Creative Cloud Desktop. Voyons ce qu’Adobe nous réserve en mars.