Le dernier Patch Tuesday de Microsoft traite 74 vulnérabilités dont 13 classées comme critiques. Parmi ces dernières, cinq affectent les navigateurs et les moteurs de script, quatre sont de potentielles attaques contre l’hyperviseur Hyper-V tandis que les autres affectent Microsoft Exchange, Win32k, Windows Media Foundations et OpenType. Ce mois-ci, le bulletin de sécurité de Microsoft arrive au même moment que la November 2019 Update.
L’une des vulnérabilités affecte les moteurs de script (CVE-2019-1429) impactant Internet Explorer. Elle a été répertoriée par Microsoft comme attaquée activement et de manière aveugle. Mettre à jour le navigateur est fortement conseillé car toutes les versions actuelles d'IE sont concernées. « Dans un scénario d'attaque sur le Web, un pirate pourrait héberger un site Web spécialement conçu pour exploiter la vulnérabilité par le biais d'Internet Explorer, puis convaincre un utilisateur de consulter le site. Un attaquant pourrait aussi intégrer un contrôle ActiveX marqué "safe for initialization" dans une application ou un document Office qui héberge le moteur de rendu IE », explique Microsoft, en précisant que d’autres méthodes d’exploitation de la vulnérabilité existent.
Quatre vulnérabilités par exécution de code à distance (CVE-2019-1389, CVE-2019-1397, CVE-2019-1398 et CVE-2019-0721) sont corrigées dans Hyper-V et le système Hyper-V Network Switch. Elles permettaient à un utilisateur authentifié sur un système invité d’exécuter du code arbitraire sur l’hôte. Microsoft signale que l’exploitation de ces vulnérabilités est moins probable.
Des vulnérabilités Intel corrigées
Ces correctifs concernent aussi plusieurs failles Intel. Celle dans le Transactional Synchronization Extensions du fondeur a été aussi traité dans le Patch Tuesday (CVE-2019-11135). Si un attaquant avait exploité cette vulnérabilité, il aurait pu avoir accès au contenu de la mémoire du noyau à partir d'un processus en mode utilisateur.
Le bulletin de sécurité évoque une vulnérabilité par exécution de code à distance (CVE-2019-1373) dans Microsoft Exchange. « Il est indiqué que l’utilisateur doit exécuter des command-lets PowerShell sur le serveur Exchange, mais aucun niveau de privilèges nécessaire à l’exploitation de la vulnérabilité n’est précisé », note Jimmy Graham, directeur produit pour la gestion des vulnérabilités applicatives chez Qualys.
Visiteur 1573 Je pense (et pourrais développer) que je n'aurais plus de problèmes de stabilité informatique quand les techniques quantiques seront disponibles à moins que dans l'au delà Windows soit encore un point majeur dans les communications ....
Signaler un abusTraiter, déjà, les difficultés structurelles des OS actuels serait, je pense une bonne chose.
réponse à Cézar (Membre) Nous en sommes encore au jurassic supérieur de l'informatique, attendez un bonne maîtrise des techniques quantiques et là on ne va vraiment plus rigoler. L'épée et le bouclier toujours....
Signaler un abusArrêtez vos envois
Signaler un abusMerci
Toutes ces vulnérabilités découvertes successivement dont celles, critiques, qui donnent l'impression que la complexité de l'ensemble < OS Réseau Applications > n'est pas maitrisé par un éditeur en position de quasi monopole (sur les PC) sont très inquiétantes. Nos Ministères des Armées et de l'éducation lui font pourtant confiance.
Signaler un abusJe me demande dans quelle mesure, malgré les articles des Conditions Générales de Vente qui excluent toute responsabilité, il ne serait pas possible d'engager une action de groupe pour vice caché au sens de l'article 1641 du code civil, au moins pour le manque d' "étanchéité" entre le noyau de l'OS et les applications pouvant ouvrir l'accès à des escrocs.
La mise à jour KB4484127 génère des bugs sur plusieurs logiciels ainsi que EXCEL et ACCESS et les rend inutilisables.
Signaler un abusIl est nécessaire de désinstaller le patch pour débloquer la situation.
pb répertorié chez Microsoft
https://support.office.com/en-us/article/access-error-query-is-corrupt-fad205a5-9fd4-49f1-be83-f21636caedec