Aujourd’hui, Microsoft a publié son résumé mensuel des mises à jour de sécurité. Ce mois-ci c’est pas moins de 50 vulnérabilités concernant neuf produits qui ont été corrigés, notamment le système d’exploitation Windows, Internet Explorer, Microsoft Edge, ChakraCore, le .NET Framework, ASP.NET, Microsoft Visual Studio, Microsoft Exchange Server, Microsoft Office, Microsoft Office Services et Web Apps.
50 vulnérabilités, mais pas de ZeroDay pour cette fois. Alors que les quatre derniers Patch Tuesday de 2018 avaient été marqués par la correction de 0day exploitées.
Comme on peut le voir sur ce tableau compilé par ZeroDay Initiative. Ce mois ci, on retrouve 7 corrections de failles critiques dont trois pour le moteur Javascript ChakraCore de Microsoft Edge, une pour Edge directement et deux pour Hyper-V .
A l’occasion de la publication de ce tuesday patch, Microsoft publie un correctif de sécurité pour le client DHCP. Le KB4480966 s’adresse uniquement aux périphériques sous Windows 10 v1803. Microsoft recommande son installation dès que possible. La vulnérabilité est décrite en détail dans le document CVE-2019-0547. Selon le groupe il n’y a pas encore eu d’attaques informatiques connues et voici quelques explications de Microsoft :
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0547
« Il existe une vulnérabilité de corruption de mémoire dans le client DHCP Windows lorsqu’un attaquant envoie des réponses DHCP spécialement conçues à un client. Un attaquant peut exploiter cette faille pour exécuter du code arbitraire sur la machine client. […] La mise à jour de sécurité corrige cette vulnérabilité en modifiant la façon dont les clients DHCP Windows traitent certaines réponses DHCP. »
Au passage, voici un excellent exemple d’utilisation de Grafana pour la description et importance des mises à jour Microsoft :
https://patchtuesdaydashboard.com/
