Patch Tuesday octobre 2023 : 103 failles et 2 zero days corrigées

Après un mois de septembre léger (61 vulnérabilités corrigées), Microsoft a passé la vitesse supérieure pour le mois d’octobre. Pas moins de 103 failles sont colmatées dont 13 sont classées comme critiques et 90 comme importantes.

Dans ce lot, les experts alertent sur la correction de deux failles zero days. La première est la CVE-2023-36563 (CVSS score : 6.5), une faille de divulgation d'informations dans WordPad qui pourrait entraîner la fuite des hachages NTLM. « Pour exploiter cette vulnérabilité, un attaquant doit d'abord se connecter au système. Il pourrait ensuite exécuter une application spécialement conçue pour exploiter la vulnérabilité et prendre le contrôle d'un système affecté », précise la firme de Redmond. La seconde est la CVE-2023-41763 (score CVSS : 5.3), une vulnérabilité d'élévation de privilèges dans Skype for Business qui pourrait conduire à l'exposition d'informations sensibles telles que les adresses IP ou les numéros de port (ou les deux) et ainsi offrir aux cybercriminels un accès aux réseaux internes.

Les correctifs MSMQ en force

Une troisième faille critique bénéficie de mesures d’atténuation sur la CVE-2023-44487. Découverte par Cloudflare, Amazon et Google, il s’agit d’une technique DDoS nommée « HTTP/2 Rapid Reset » activement exploitée depuis le mois d'août. Cette attaque abuse de la fonction d'annulation de flux de HTTP/2 pour envoyer et annuler continuellement des requêtes, submergeant et saturant le serveur/l'application cible.

Les autres brèches ne sont pas à ignorer en ciblant plusieurs produits Azure, ASP.NET, Core et Visual Studio, Exchange Server, Office, Microsoft Dynamics, et Windows. On notera que 20% de l’ensemble des correctifs concernent Microsoft Message Queuing (MSMQ). Ce service est utilisé pour permettre à des applications réparties sur plusieurs serveurs ou hôtes de communiquer entre elles et pour permettre aux communications d'être stockées et mises en file d'attente selon les besoins. L’une des vulnérabilités recensées, la CVE-2023-35349, affiche la gravité la plus haute 9,8 sur 10.