Microsoft Patch Tuesday Décembre 2023

Satnam Narang, Senior Staff Research Engineer chez Tenable partage son expertise sur la mise à jour du Patch Tuesday de Microsoft de Décembre 2023. C’est la deuxième fois consécutive que le Patch Tuesday ne fait état d’aucune vulnérabilité de type « zero-day » (exploitée ou divulguée publiquement).

Vulnérabilité d’exécution de code à distance dans Microsoft SharePoint Server

Microsoft a corrigé la CVE-2024-21318, une vulnérabilité d’exécution de code à distance dans Microsoft SharePoint Server. Un attaquant authentifié disposant des privilèges de propriétaire de site pourrait exploiter cette vulnérabilité, et potentiellement obtenir l’accès à des fichiers hautement sensibles stockés dans ce serveur basé sur le cloud.

Malgré l’exigence d’authentification, Microsoft affirme que l’exploitation de cette faille est plus probable. Elle est attribuée à des chercheurs de STAR Labs SG Pte. Ltd. En septembre 2023, ces chercheurs ont publié un billet de blog décrivant l’enchaînement réussi de deux vulnérabilités dans Microsoft SharePoint Server (CVE-2023-29357, CVE-2023-24955). Les organisations qui utilisent SharePoint Server devraient appliquer ces correctifs dès que possible.

Vulnérabilités d’élévation de privilèges

Microsoft a également corrigé plusieurs vulnérabilités d’élévation de privilèges dans plusieurs produits, notamment Windows Clouds Files Mini Filter Driver (CVE-2024-21310), Common Log File System (CVE-2024-20653), Windows Kernel (CVE-2024-20698) et Win32k (CVE-2024-20683, CVE-2024-20686), dont l’exploitation est jugée plus probable. Ces bugs sont généralement utilisés dans le cadre d’une activité post-compromission, c’est-à-dire qu’une fois que les attaquants se sont introduits dans les systèmes, ils utilisent ces vulnérabilités pour élever les privilèges au-delà des limites des privilèges actuels, qui sont souvent limités.

Ces failles font l’objet d’un flux constant de correctifs chaque mois, et certaines d’entre elles ont été exploitées dans la nature en tant que « journées zéro ». Bien que l’attention se porte principalement sur les vulnérabilités considérées comme critiques, telles que les bogues d’exécution de code à distance ou les vulnérabilités dont le score CVSS est supérieur à 9, ces dernières rappellent l’importance de corriger les vulnérabilités qui sont plus susceptibles d’être exploitées par les attaquants.