Le 13 juin, dans le cadre de notre Mettre à jour l'horaire du mardi, Microsoft a publié la sécurité mises à jour pour un total de 96 vulnérabilités de sécurité dans ses divers systèmes d'exploitation et logiciels Windows, y compris correctifs pour deux vulnérabilités qui ont été activement exploitées dans la nature.
Sur 96 vulnérabilités de sécurité, 12% de ces problèmes sont survenus à un moment donné via le programme ZDI (Zero-Day Initiative). Au total, 18 de ces problèmes sont classés Critique, 76 sont classés Importants, un est classé Modéré et un est la cote de gravité rare Faible. Certains de ces bugs ont été initialement divulgués lors du concours Pwn2Own de cette année, mais certains bugs du concours doivent encore être corrigés. Deux de ces bogues font l'objet d'attaques actives tandis que trois sont répertoriés comme connus du public.
Si vous vous en souvenez, le mois dernier s'est répandu WannaCry attaque de ransomware, qui a infecté près de 300,000 150 ordinateurs dans plus de XNUMX pays, a forcé Microsoft à publier des mises à jour de sécurité contre Exploitation EternalBlue SMB pour les versions non prises en charge de Windows, mais la société a laissé trois autres exploits Windows zero-day, divulgués par le Shadow Brokers en avril, non corrigé. La version de correctif de ce mois-ci comprend également des correctifs pour ces trois exploits de piratage Windows.
Le Patch 2017 de juin mardi apporte des correctifs pour plusieurs failles d'exécution de code à distance dans Windows, Office et Edge, qui pourraient être exploitées à distance par des pirates informatiques pour prendre le contrôle complet des machines vulnérables avec peu ou pas d'interaction de la part de l'utilisateur.
Alors que deux des vulnérabilités ont été exploitées dans des attaques en direct, trois autres failles ont des exploits de preuve de concept (POC) accessibles au public que n'importe qui pourrait utiliser pour cibler les utilisateurs Windows.
Les trois exploits Windows non corrigés portent le nom de code « EsteemAudit », « ExplodingCan », et « Anglais Dentiste ». EsteemAudit cible le service RDP (Remote Desktop Protocol) sur les machines Microsoft Windows Server 2003 et Windows XP, tandis qu'ExplodingCan exploite les bogues dans IIS 6.0 et EnglishmanDentist exploite les serveurs Microsoft Exchange. Aucun de ces exploits ne fonctionne sur la plate-forme Windows prise en charge.
Selon le récent Microsoft blog récents, les correctifs de bas niveau critiques pour trois exploits Windows ont été provoqués par un « risque élevé de cyberattaques destructrices » par des organisations gouvernementales, parfois appelées « acteurs de l'État-nation ou autres organisations imitatrices ».
Les correctifs de sécurité pour Windows XP, Vista et Server 2003 contiennent des correctifs pour les trois produits de fin de support ci-dessus. Contrairement aux versions régulières de Patch Tuesday qui sont livrées automatiquement via le mécanisme de mise à jour Windows sur vos appareils, ces correctifs de bas niveau doivent être téléchargés et installés manuellement. Ces mises à jour sont disponibles dans le Centre de téléchargement Microsoft ou dans le Catalogue de mises à jour, ou vous pouvez trouver des liens de téléchargement au bas de l'Avis de sécurité 4025685.
« Notre décision aujourd'hui de publier ces mises à jour de sécurité pour les plates-formes ne bénéficiant pas d'un support étendu ne doit pas être considérée comme une dérogation à nos politiques de service standard. Sur la base d'une évaluation du paysage actuel des menaces par nos ingénieurs en sécurité, nous avons pris la décision de rendre les mises à jour disponibles plus largement. Comme toujours, nous recommandons aux clients de passer aux dernières plates-formes. La meilleure protection est d'être sur un système moderne et à jour qui intègre les dernières innovations en matière de défense en profondeur. Les systèmes plus anciens, même s'ils sont entièrement à jour, ne disposent pas des dernières fonctionnalités et avancées de sécurité », a déclaré Eric Doerr, directeur général du Security Response Center de l'entreprise, dans un communiqué séparé. blog récents.
Par ailleurs, Adobe a également publié des correctifs de sécurité pour ses offres logicielles les plus vulnérables, flash Player et Shockwave Player, deux programmes sans lesquels la plupart des utilisateurs seraient probablement mieux lotis. La société corrige neuf bogues critiques dans son Flash Player qui pourraient permettre l'exécution de code à distance, dont cinq sont dus à une corruption de la mémoire et quatre sont des conditions d'utilisation après une utilisation gratuite dans le logiciel.
Les utilisateurs exécutant Chrome, Edge et Internet Explorer 11 et versions ultérieures recevront automatiquement la mise à jour des équipes de sécurité de Google et de Microsoft, tandis que les autres utilisateurs doivent télécharger les correctifs directement à partir d'Adobe.
Shockwave Player a reçu un correctif pour une seule vulnérabilité d'exécution de code à distance dans la version Windows de son logiciel. Les utilisateurs doivent télécharger la version Shockwave Player 12.2.9.199 afin de se protéger.
