Microsoft Patch Tuesday – Mai 2019

Microsoft a distribué des mises à jour pour adresser 79 vulnérabilités dans différents produits, l’une de ses failles est critique et permet à un ver de se propager de machine en machine sans aucune action de l’utilisateur.

Parmi ces 79 vulnérabilités, 18 ont été défini comme étant critiques et les autres sont importantes. Deux de ces vulnérabilités sont publiquement connues et l’une d’entre elle était déjà exploitée par des hackers.

Ces mises à jour s’attaquent à des failles dans le système d’exploitation Windows, Internet Explorer, Edge, Microsoft Office, ChakraCore, .NET, ASP.NET, Skype pour Android, Azure DevOps Server et NuGet Package Manager.

Ver: Vulnérabilité RDP

La vulnérabilité (CVE-2019-0708) réside dans Remote Desktop Services – anciennement connu sous le nom Terminal Services – et peut être exploitée à distance en envoyant des requêtes spéciales avec le protocole RDP vers un système ciblé.

La vulnérabilité peut être exploitée par un malware qui se répandrait comme un ver, comme la malware WannaCry en 2017.

En plus de la publication de patchs pour Windows 7, Windows Server 2008 R2 et Windows Server 2008, Microsoft a aussi distribué des patchs pour des versions qui ne sont plus supportées comme Windows 2003 et Windows XP.

Microsoft recommande aux utilisateurs de Windows Server de bloquer le port 3389 et d’activer l’Authentification Niveau Réseau pour qu’un individu non-authentifié ne puisse pas exploité cette faille.

Autres Failles Critiques et Importantes de Microsoft

Parmi les autres failles on peut noter une vulnérabilité d’élévation de privilège (CVE-2019-0863) dans Windows qui existe dans la méthode utilisée par Windows Error Reporting (WER) pour manipuler les fichiers. La faille est publiquement connue et est activement exploitée par des hackers.

L’exploitation de cette faille permet à un individu avec peu de privilèges d’exécuter du code arbitraire à distance dans le kernel avec des privilèges d’administrateur.

L’application Skype pour Android est aussi concerné. La vulnérabilité (CVE-2019-0932) permet d’écouter les conversations des utilisateurs de Skype à leur insu.

Toutes les failles critiques de ce mois-ci affectent différentes versions de Windows 10 et des éditions Server et réside dans le Chakra Scripting Engine, dans l’interface graphique Windows (GDI), Internet Explorer, Edge, Word, Remote Desktop Services, et Windows DHCP Server.

Beaucoup de vulnérabilités importantes mènent aussi à des attaques d’exécution de code à distance, d’autres permettent des élévations de privilèges, des divulgations d’informations, contournements de sécurité, usurpations d’identité et des attaques de déni de service

Les utilisateurs et les administrateurs sont priés d’installer les derniers patchs de sécurité le plus tôt possible.

Adobe a aussi publié des mises à jour de sécurité pour  87 vulnérabilités dans Acrobat et Reader, Flash Player et Media Encoder, la plupart de ces failles de sécurité permettent des exécutions de code arbitraire. Parmi ces 87 failles, un grand nombre (un total de 84) affecte les applications Adobe Acrobat et Reader, 42 d’entre elles sont classées comme étant critiques alors que les autres sont classées comme étant importantes.