Microsoft Patch TUESDAY – Mai 2022

Claire Tills, Senior Research Engineer de Tenable commente l’essentiel et ce qu’il faut retenir du dernier Patch Tuesday de Microsoft : 55 correctifs dont trois sont jugés critiques.

Correctifs pour 55 CVE, 3 classés critiques et 52 classés importants !

La version Patch Tuesday de ce mois-ci comprend des correctifs pour 55 CVE et trois qui sont classés critiques et 52 classés importants. Microsoft a corrigé la CVE-2022-30136, une vulnérabilité d’exécution de code à distance dans le système de fichiers réseau qui peut être exploitée par un attaquant non authentifié, en lui attribuant un score CVSSv3 de 9,8. Cette vulnérabilité n’affecte pas les versions 2 et 3 de NFS.

En termes d’atténuation, Microsoft a proposé de désactiver la version 4.1 de NFS. Cependant, cela peut avoir des effets négatifs sur les systèmes, en particulier pour les organisations qui n’ont pas appliqué la mise à jour de sécurité de mai 2022 pour CVE-2022-26937. Dans la mesure du possible, les organisations sont fortement encouragées à effectuer les mises à jour avec les correctifs les plus récents.

CVE-2022-30190, la Zero Day connue sous le nom de Follina

Les correctifs pour CVE-2022-30190, la Zero Day connue sous le nom de Follina et divulguée fin mai, ont également été inclus dans la version de ce mois-ci. Il y a eu beaucoup de spéculation avant le Patch Tuesday sur la question de savoir si Microsoft allait publier des correctifs, étant donné le rejet initial de la faille par Microsoft et son exploitation généralisée dans les semaines qui ont suivi sa divulgation publique.

Microsoft rejette les problèmes de sécurité légitimes ?
En ce qui concerne la tendance troublante de Microsoft à rejeter les problèmes de sécurité légitimes, Jimi Sebree, chercheur chez Tenable, a découvert et divulgué deux vulnérabilités dans Azure Synapse Analytics de Microsoft, dont l’une a été corrigée et l’autre non.

Aucune de ces vulnérabilités n’a reçu de numéro CVE ou n’a été documentée dans le guide des mises à jour de sécurité de Microsoft pour le mois de juin.