Microsoft vient de publier son dernier patch Tuesday. Que retenir en quelques points clés ?
Microsoft Patch Tuesday Décembre 2023

Satnam Narang, Senior Staff Research Engineer chez Tenable partage son expertise sur la mise à jour du Patch Tuesday de Microsoft de Décembre 2023. C’est la deuxième fois consécutive que le Patch Tuesday ne fait état d’aucune vulnérabilité de type « zero-day » (exploitée ou divulguée publiquement).
Vulnérabilité d’exécution de code à distance dans Microsoft SharePoint Server
Microsoft a corrigé la CVE-2024-21318, une vulnérabilité d’exécution de code à distance dans Microsoft SharePoint Server. Un attaquant authentifié disposant des privilèges de propriétaire de site pourrait exploiter cette vulnérabilité, et potentiellement obtenir l’accès à des fichiers hautement sensibles stockés dans ce serveur basé sur le cloud.
Malgré l’exigence d’authentification, Microsoft affirme que l’exploitation de cette faille est plus probable. Elle est attribuée à des chercheurs de STAR Labs SG Pte. Ltd. En septembre 2023, ces chercheurs ont publié un billet de blog décrivant l’enchaînement réussi de deux vulnérabilités dans Microsoft SharePoint Server (CVE-2023-29357, CVE-2023-24955). Les organisations qui utilisent SharePoint Server devraient appliquer ces correctifs dès que possible.
Vulnérabilités d’élévation de privilèges
Microsoft a également corrigé plusieurs vulnérabilités d’élévation de privilèges dans plusieurs produits, notamment Windows Clouds Files Mini Filter Driver (CVE-2024-21310), Common Log File System (CVE-2024-20653), Windows Kernel (CVE-2024-20698) et Win32k (CVE-2024-20683, CVE-2024-20686), dont l’exploitation est jugée plus probable. Ces bugs sont généralement utilisés dans le cadre d’une activité post-compromission, c’est-à-dire qu’une fois que les attaquants se sont introduits dans les systèmes, ils utilisent ces vulnérabilités pour élever les privilèges au-delà des limites des privilèges actuels, qui sont souvent limités.
Ces failles font l’objet d’un flux constant de correctifs chaque mois, et certaines d’entre elles ont été exploitées dans la nature en tant que « journées zéro ». Bien que l’attention se porte principalement sur les vulnérabilités considérées comme critiques, telles que les bogues d’exécution de code à distance ou les vulnérabilités dont le score CVSS est supérieur à 9, ces dernières rappellent l’importance de corriger les vulnérabilités qui sont plus susceptibles d’être exploitées par les attaquants.
Téléchargez cette ressource

10 tendances clés de l’Expérience Client (CX) 2025
Dans le contexte actuel, l'expérience client est un levier clé de réussite. Pour rester compétitives, les entreprises doivent adopter des stratégies CX audacieuses, en s'appuyant sur le cloud, le digital et l'IA. Alors quelles stratégies mettre en place pour garder une longueur d’avance ?
Les articles les plus consultés
Les plus consultés sur iTPro.fr
- Alerte sur les cyberattaques du secteur industriel
- Accessibilité numérique : l’impact des nouveaux design systems iOS et Android sur l’expérience utilisateur mobile
- Cloud et IA générative : le secteur de la santé visé
- La progression latérale dans les cyberattaques échappe encore à la détection !
- Panorama de la maturité cyber des entreprises françaises
