Octobre apporte quatre exploits zero-day et 74 mises à jour à l’écosystème Windows, y compris une mise à jour du noyau difficile à tester (CVE-2021-40449) qui nécessite une attention immédiate et une mise à jour d’Exchange Server qui nécessite des compétences techniques et une diligence raisonnable (et un redémarrage). Le profil de test du Patch Tuesday d’octobre couvre la gestion des erreurs Windows, AppX, Hyper-V et Microsoft Word. Nous recommandons une planification de correctif immédiat pour Windows, puis la mise en place des groupes de correctifs restants en fonction de votre modèle de publication normal.

Vous pouvez trouver plus d’informations sur le risque de déploiement de ces mises à jour Patch Tuesdaydans cette infographie.

Scénarios de test clés

Aucun changement à haut risque n’a été signalé sur la plate-forme Windows. Cependant, un changement fonctionnel a été signalé et une fonctionnalité supplémentaire a été ajoutée :

• Comme toujours, vérifiez que l’impression fonctionne comme prévu avec les imprimantes physiques et les imprimantes virtuelles. Vérifiez qu’il n’y a pas de problèmes avec les pilotes d’imprimante. Nous vous suggérons d’évaluer quel logiciel de pilote d’imprimante utilise encore du code 32 bits pour la gestion des applications.
• Testez vos sites Web non anglais, à la recherche de caractères cassés ou inégaux en thaï, laotien, coréen et arabe.
• La fonctionnalité Active Directory BanndIP a été mise à jour. Nous suggérons de valider l’autorisation AD pour le trafic réseau actif et passif. Vous pouvez en savoir plus ici.
• Microsoft a mis à jour le codec multimédia, donc le test de fichiers image et vidéo volumineux devrait faire partie du plan de test.
• Le composant STORPORT.SYS a été mis à jour ce mois-ci, alors vérifiez les applications qui dépendent de cette fonctionnalité Windows.

Je pense qu’il est maintenant sûr de dire que le format Microsoft AppX n’a ​​pas été aussi largement adopté dans l’entreprise que prévu. Malgré cela, des mises à niveau importantes des conteneurs Microsoft AppX et des outils de déploiement ont été incluses dans cette mise à jour d’octobre. Si vous disposez d’un « store » Microsoft d’entreprise pour vos applications, nous vous recommandons d’installer/désinstaller à la fois vos applications AppX et leurs runtimes associés.

En ce qui concerne les fonctionnalités Windows moins utilisées, le Microsoft NTFS le système de fichiers a été mis à jour pour inclure un correction des liens symboliques (utile avec les migrations UNIX). Si vous êtes au milieu d’une grande migration UNIX, vous voudrez peut-être faire une petite pause et tester des transferts de fichiers volumineux (et parallèles) avant de déployer cette mise à jour.

Problèmes connus

Chaque mois, Microsoft inclut une liste de problèmes connus liés au système d’exploitation et aux plates-formes incluses dans le cycle de mise à jour. J’ai référencé quelques problèmes clés liés aux dernières versions de Microsoft, notamment :

• Les appareils avec des installations Windows créées à partir de supports hors ligne personnalisés ou d’images ISO personnalisées peuvent avoir Microsoft Edge Legacy supprimé par cette mise à jour, mais pas automatiquement remplacé par le nouveau Microsoft Edge. Ce problème ne se produit que lorsque des supports hors ligne personnalisés ou des images ISO sont créés en intégrant cette mise à jour dans l’image sans avoir au préalable installé la mise à jour de la pile de maintenance autonome (SSU) publiée le 29 mars 2021 ou une version ultérieure.

Révisions majeures

Au moment d’écrire ces lignes pour ce cycle de mise à jour de juillet, il y avait deux mises à jour majeures par rapport aux mises à jour précédentes :

• CVE-2021-38624: Vulnérabilité de contournement de la fonctionnalité de sécurité du fournisseur de stockage de clés Windows. Il s’agit de la troisième tentative de Microsoft de corriger ce composant de stockage de clé Windows et, malheureusement, une mise à niveau majeure a été nécessaire. Les systèmes concernés ce mois-ci incluent Windows 11 ; Microsoft a fortement recommandé que des mesures immédiates soient prises pour mettre à jour les systèmes.
• CVE-2021-33781: Vulnérabilité de contournement de la fonctionnalité de sécurité Azure AD. Encore une fois, un autre tiers essaie de résoudre ce problème. Cependant, pour ce problème Azure AD, ces dernières modifications sont plus informatives (correction des titres et de la documentation CVE) et incluent une liste des systèmes concernés mise à jour pour inclure Windows 11. Aucune autre action n’est requise ici.

Atténuations et solutions de contournement

• CVE-2021-40444: Microsoft enquête sur les rapports d’une vulnérabilité d’exécution de code à distance dans MSHTML qui affecte Windows. La société a connaissance d’attaques ciblées qui tentent d’exploiter cette vulnérabilité en utilisant des documents Microsoft Office spécialement conçus. Un attaquant pourrait créer un contrôle ActiveX malveillant à utiliser par un document Microsoft Office qui héberge le moteur de rendu du navigateur.

Chaque mois, nous décomposons le cycle de mise à jour en familles de produits (telles que définies par Microsoft) avec les regroupements de base suivants :

• Navigateurs (Microsoft IE et Edge) ;
• Microsoft Windows (à la fois bureau et serveur) ;
• Microsoft Office;
• Microsoft Exchange;
• Plateformes de développement Microsoft ( ASP.NET Core, .NET Core et Chakra Core);
• Adobe (retraité???, pas encore).

Navigateurs

Microsoft a publié 33 mises à jour du navigateur Edge basé sur Chromium ce cycle. Étant donné que Chromium ne s’intègre pas profondément dans le système d’exploitation du bureau ou du serveur, les collisions potentielles ou les problèmes de dépendance sont peu probables. Vous pouvez en savoir plus sur le cycle de mise à jour du projet Chromium etnotes de version ici.

Cependant, l’un des composants clés (IEFRAME.DLL) d’Internet Explorer (IE) a été mis à jour ce mois-ci. Il est possible que des applications tierces et des logiciels développés en interne dépendent de cette bibliothèque de clés. Pour cette mise à jour particulière, il semble que Microsoft ait modifié la façon dont les onglets des navigateurs sont gérés, en particulier la façon dont ils sont créés. Si vous recevez des erreurs « Invalid Pointer Bad Ref Count » (ou similaire) lors de vos tests, cela peut très bien être lié à cette mise à jour des bibliothèques système (DLL) d’Internet Explorer de base. Ajoutez ces deux groupes de mises à jour du navigateur à votre calendrier de mise à jour régulier.

les fenêtres

Ce mois-ci, Microsoft a publié quatre mises à jour critiques pour l’écosystème Windows et 45 autres correctifs jugés importants. Malheureusement, mettre à jour CVE-2021-40449 pour le noyau Windows a été signalé comme exploité. Cela associe une mise à jour de bas niveau difficile à tester des systèmes principaux de Windows à une urgence à atténuer ou à corriger. Nous avons inclus des conseils de test dans une section ci-dessus qui couvre une grande partie des modifications apportées à Windows ce mois-ci. Cependant, tester les mises à jour du noyau est très difficile. Testez minutieusement vos applications principales, publiez vos mises à jour en anneaux ou par étapes et ajoutez cette mise à jour à votre calendrier Patch Now.

Microsoft Office

Microsoft a publié 16 mises à jour pour Microsoft Office et Microsoft SharePoint, dont une classée comme critique (CVE-2021-40486) affectant Microsoft Word et les correctifs restants affectant Excel et SharePoint. Le problème de sécurité de Word, bien que grave, n’a pas été divulgué publiquement et il n’y a aucun rapport d’exploits dans la nature. Remarque : SharePoint nécessitera un redémarrage après sa mise à jour. Nous vous recommandons de les ajouter à votre calendrier de publication de correctifs habituel.

Serveur Microsoft Exchange

Malheureusement, les mises à jour de Microsoft Exchange Server sont de retour pour octobre. Il existe quatre correctifs pour Exchange Server (2016 et 219), tous considérés comme importants. Cependant, CVE-2021-36970 a une cote de base de 9,0, selon le système de cote de vulnérabilité CVSS. Ceci est vraiment élevé (ce qui signifie sérieux) et justifierait généralement une note critique de Microsoft. Cependant, en raison de la limitation de la « portée » de la vulnérabilité, les dommages potentiels sont considérablement réduits.

Microsoft a publié une documentation mise à jour détaillant un certain nombre de problèmes connus liés aux correctifs Exchange Server de ce mois-ci où une application manuelle de fichiers MSP n’installe pas correctement tous les fichiers nécessaires. De plus, une mauvaise application de cette mise à jour peut laisser votre serveur Exchange dans un état désactivé. Ce problème s’applique aux mises à jour d’octobre suivantes :

Ce problème d’installation est particulièrement préoccupant lors de l’application de mises à jour à l’aide du contrôle de compte d’utilisateur (UAC) et ne se produit pas lorsque vous utilisez Microsoft Update. Sinon, notez que cette mise à jour Exchange nécessitera un redémarrage du serveur ; nous vous recommandons d’ajouter cette mise à jour à votre calendrier de mise à jour régulier.

Plateformes de développement Microsoft

Microsoft a publié trois mises à jour de Visual Studio et un correctif pour .NET 5.0 ce mois-ci. Tous ont été jugés importants par Microsoft et, au pire, pouvaient entraîner la divulgation d’informations ou un « déni de service » (spécifique à l’application et localisé). Les mises à jour de Visual Studio sont très simples et doivent être incluses dans votre cycle de développement standard.

Adobe (vraiment juste Reader)

Adobe a publié quatre mises à jour de son groupe de produits Reader de base avec un bulletin de sécurité APSB1221-104. Deux de ces mises à jour (CWE-416 et CWE-787) sont classés comme critiques par Adobe. Alors que les deux ont CVSS scores de 7,8 (ce qui est assez élevé pour un lecteur PDF), ils ne nécessitent pas de mise à jour urgente. Ajoutez-les à votre calendrier de mise à jour régulier.