Microsoft a battu son propre record de publication de CVE dans le Patch Tuesday de juin, le géant du logiciel ayant corrigé 129 vulnérabilités dans Windows 10, Office, Microsoft Edge et ses autres logiciels.
La mise à jour de ce mois inclut des correctifs pour un certain nombre de failles de sécurité, y compris les CVE pour 11 vulnérabilités critiques d'exécution de code à distance. Cependant, le Patch Tuesday de juin n'incluait aucune vulnérabilité du jour zéro qui est activement exploitée dans la nature.
«Pour juin, Microsoft a publié des correctifs pour 129 CVE couvrant Microsoft Windows, Internet Explorer (IE), Microsoft Edge (basé sur EdgeHTML et basé sur Chromium en mode IE), ChakraCore, Office et Microsoft Office Services and Web Apps, Windows Defender, Microsoft Dynamics, Visual Studio, Azure DevOps et Microsoft Apps pour Android. C'est le quatrième mois consécutif que Microsoft publie des correctifs pour plus de 110 CVE, et c'est le plus grand nombre de CVE jamais publié par Microsoft en un seul mois. Cela porte le nombre total de correctifs Microsoft publiés cette année à 616, soit 49 de moins que le nombre total de CVE qu'ils ont traités en 2017. »
Sommaire
Failles d'exécution de code à distance
Parmi les 129 vulnérabilités corrigées par Microsoft, CVE-2020-1299 dans Windows 10 se démarque des autres car elle pourrait permettre l'exécution de code à distance lorsqu'un fichier .LNK, qui est un raccourci ou un «lien», est traité.
Si un attaquant devait intégrer un raccourci malveillant dans un lecteur amovible ou un partage distant et convaincre un utilisateur de l'ouvrir, le binaire malveillant pourra exécuter du code. L'exploitation réussie de cette vulnérabilité donnerait à un attaquant les mêmes droits d'utilisateur qu'un utilisateur local sur un système exécutant Windows 10.
Microsoft a également corrigé cinq failles d'exécution de code à distance dans son langage de script actif VBScript qui existent dans la façon dont son moteur gère les objets en mémoire. L'entreprise a expliqué ce qu'un attaquant pourrait faire s'il réussissait à exploiter ces vulnérabilités, en disant:
«Un attaquant qui parviendrait à exploiter la vulnérabilité pourrait obtenir les mêmes droits d'utilisateur que l'utilisateur actuel. Si l'utilisateur actuel est connecté avec des droits d'administrateur, un attaquant qui parviendrait à exploiter la vulnérabilité pourrait prendre le contrôle d'un système affecté. Un attaquant pourrait alors installer des programmes; afficher, modifier ou supprimer des données; ou créer de nouveaux comptes avec des droits d'utilisateur complets. "
Via ThreatPost
