Pour la troisième fois consécutive, Microsoft a corrigé plus de 100 failles pour son patch de mai. L’éditeur a en effet réglé 111 problèmes de sécurité sur l’ensemble de sa gamme de produits : Windows, Edge, ChakraCore, Internet Explorer, Office, Windows Defender, Dynamics, etc. Si aucune vulnérabilité ne semble avoir été exploitée, selon Microsoft, 16 sont jugées critiques, et 96 importantes.
La majorité de ces correctifs concernent des problèmes d'élévation de privilèges (EoP) importants. 56 sont dénombrés dans la mise à jour de mai, principalement sur divers composants de Windows. L’exploitation de trois de ces bugs est « plus probable » : deux dans Win32k (CVE-2020-1054, CVE-2020-1143) et un dans le composant graphique de Windows (CVE-2020-1135). En exploitant ces vulnérabilités, un pirate pourrait exécuter du code arbitraire en mode kernel et installer des programmes, afficher, modifier ou supprimer des données, ou créer de nouveaux comptes avec les droits utilisateur.
Sharepoint toujours instable
Pour une autre faille critique, direction Edge (CVE-2020-1056). Le navigateur de Microsoft n'applique pas correctement les politiques interdomaines, ce qui pourrait permettre à un attaquant d'accéder aux informations d'un domaine et de les injecter dans un autre domaine, selon l'éditeur. Cependant, ce type d’attaque implique d’avoir une interaction avec l'utilisateur, par exemple avec un système en l'incitant à cliquer sur un lien qui l'amène au site de l'attaquant.
SharePoint, l’outil de collaboration de l’éditeur de Redmond, continue d’être le plus problématique avec pas moins de quatre problèmes critiques à son actif en mai. Les failles CVE-2020-1023 et CVE-2020-1102 permettraient aux attaquants d'accéder à un système et de lire ou de supprimer du contenu, d'effectuer des modifications ou d'exécuter directement du code sur le système. L'exploitation de la faille CVE-202-1024 rendrait possible l'exécution de code arbitraire à partir du pool d'applications SharePoint et d’un compte SharePoint farm, ce qui pourrait avoir un impact sur tous les utilisateurs utilisant la plateforme.