Patch Tuesday août 2023 : une salve de 74 correctifs à appliquer

Après un mois de juillet hors norme pour lequel 132 failles ont été corrigées, Microsoft livre pour ce mois d'août 74 patchs pour combler notamment six vulnérabilités critiques. La zero day identifiée en tant que CVE-2023-36884 n'en fait pas partie, mais une mise à jour casse sa chaîne d'exploit.

Certes, ce n'est pas le déluge, mais quand même une belle pluie de correctifs que Microsoft fait tomber en ce mois d'août. Avec 74 patchs, on est, en effet, loin des 132 poussés le mois dernier : il n'empêche que les entreprises - mais aussi les particuliers - ont tout intérêt à les appliquer dès que possible. Parmi les vulnérabilités, six sont classées critiques, à savoir les CVE-2023-35385, CVE-2023-36910, et CVE-2023-36911 (exécution de code à distance dans Message Queuing), CVE-2023-29328, et CVE-2023-29330 (exécution de code à distance dans Teams, ainsi que la CVE-2023-36895 (exécution de code à distance dans Outlook).

Concernant les trous de sécurité critiques dans Message Queuing, bien que Microsoft indique que leur exploitation est peu probable, la vigilance reste de mise. « Un attaquant distant non authentifié peut exploiter cette vulnérabilité en envoyant des paquets MSMQ malveillants à un serveur MSMQ vulnérable, ce qui entraîne l'exécution d'un code arbitraire. Cependant, pour exploiter cette faille, le service Message Queuing doit être activé sur le serveur vulnérable. Microsoft indique que si le service est activé, il s'exécute sous le nom de service "Message Queuing" et écoute sur le port TCP 1801 », prévient Tenable.

Contrer la CVE-2023-36884 avec la mise à jour ADV230003

À noter que la faille de CVE-2023-36884 du mois dernier de type zero day ouvrant la voie à de l'exécution de code à distance sur Windows et Office est encore activement exploitée, mais qu'aucun correctif n'est encore disponible. Cependant, la firme de Redmond a annoncé une solution de contournement avec une mise à jour pour casser la chaîne d'exploit à retrouver dans l'alerte ADV230003. « Étant donné que cette vulnérabilité a déjà été exploitée avec succès dans la nature en tant que zero day, les entreprises devraient en priorité corriger cette vulnérabilité et appliquer la mise à jour dès que possible », fait savoir Tenable.

Les produits de Microsoft bénéficiant de correctifs pour ce patch tuesday d'août sont les suivants : Windows et Windows Components; Edge (Chromium), Exchange Server, Office et Office Components, .NET et Visual Studio, ASP.NET, Azure DevOps et HDInsights, Teams et Defender.