Patch Tuesday – Septembre 2022

Satnam Narang, Senior Staff Research Engineer chez Tenable, commente l’essentiel en 3 minutes chrono.

Des correctifs pour 84 CVE

La version de ce mois-ci comprend des correctifs pour 84 CVE, dont 13 sont classés critiques et 71 importants.

Ce mois-ci, Microsoft a corrigé CVE-2022-41033, une vulnérabilité qui accorde une élévation de privilège dans le service de système d’événements Windows COM+, qui permet la notification d’événements système pour les composants COM+. Un attaquant authentifié pourrait exécuter une application spécialement conçue pour exploiter cette vulnérabilité sur un système vulnérable. Une exploitation réussie donnerait à un attaquant la possibilité d’exécuter des privilèges en tant que SYSTEM.

Microsoft signale que cette vulnérabilité a été exploitée dans la nature, bien qu’aucun détail spécifique n’ait été partagé sur son exploitation. Elle a été signalée à Microsoft par une personne anonyme. Bien que les vulnérabilités d’élévation de privilèges nécessitent qu’un attaquant accède à un système par d’autres moyens, elles restent un outil précieux dans la boîte à outils d’un attaquant, et le Patch Tuesday de ce mois-ci ne manque pas de failles d’élévation de privilèges, puisque Microsoft en a corrigé 39, ce qui représente près de la moitié des bugs corrigés (46,4 %).

Vulnérabilités de type « zero-day » dans Exchange Server

Les correctifs pour les deux vulnérabilités de type « zero-day » dans Microsoft Exchange Server :

• CVE-2022-41040
• CVE-2022-41082

également connues sous le nom de ProxyNotShell, sont notablement absents du Patch Tuesday de ce mois-ci. Nous nous attendions à ce que Microsoft publie rapidement des correctifs pour ces failles, étant donné qu’il y a eu des rapports d’exploitation dans la nature.