Microsoft dévoile 142 failles de sécurité dans son Patch Tuesday de juillet 2024. Parmi elles, 5 sont critiques, 133 importantes et 4 modérées. Deux vulnérabilités zero-day sont d'ailleurs déjà exploitées activement. Les correctifs concernent Windows, Office, .NET, Azure et d'autres produits Microsoft.
Le géant de Redmond ne fait pas les choses à moitié. Son Patch Tuesday de juillet 2024 est un mastodonte qui corrige pas moins de 142 failles de sécurité. Ce chiffre donne le tournis et dépasse largement les deux précédentes mises à jour mensuelles combinées. Microsoft ne chôme pas, et les pirates non plus, visiblement.
Parmi cette montagne de correctifs, on trouve de tout : exécution de code à distance, élévation de privilèges, vol de données, contournement des fonctionnalités de sécurité… Le menu est copieux et varié. Mais ce qui inquiète le plus, ce sont les deux vulnérabilités zero-day déjà exploitées par des attaquants. Elles touchent Windows Hyper-V et la plateforme MSHTML. Autant dire qu'il ne faut pas traîner pour appliquer ces mises à jour.
Le Patch Tuesday de juillet 2024 : des failles critiques et des mises à jour tous azimuts
Dans ce déluge de correctifs, certaines failles sortent du lot. C'est le cas des trois vulnérabilités critiques qui affectent le service de licence de bureau à distance de Windows. Avec un score CVSS de 9,8 sur 10, elles permettent l'exécution de code à distance et sont jugées faciles à exploiter. Un cocktail explosif qui en fait des cibles prioritaires pour les mises à jour.
Windows n'est pas le seul concerné. Office, .NET, Visual Studio, Azure, Defender for IoT, SQL Server, BitLocker, Secure Boot… La liste des produits touchés est longue comme le bras. Microsoft conseille même de désactiver le service de gestion des licences des services Bureau à distance si vous ne l'utilisez pas.
Et pendant que Microsoft colmate ses brèches, d'autres entreprises ne chôment pas non plus. Adobe, Cisco, Citrix, Fortinet et Mozilla, entre autres, ont tous publié des correctifs ce mois-ci. Tout le monde ne part pas en vacances en juillet.
Pourquoi il faut mettre à jour sans tarder
Microsoft reste fidèle à ses habitudes et donne peu d'informations sur les failles, encore moins sur leurs conséquences potentielles. Cette discrétion n'est pas pour rassurer les experts en sécurité. Kevin Breen de chez Immersive Labs regrette ce manque de détails qui empêche les experts d'approfondir leurs recherches. « Les chasseurs de menaces bénéficieraient de détails supplémentaires afin de pouvoir déterminer s'ils ont déjà été compromis par cette vulnérabilité », a-t-il commenté à nos confrères de Dark Reading.
Cette opacité renforce l'urgence d'appliquer les correctifs. Sans informations précises, il est difficile d'évaluer les risques réels. Mieux vaut donc jouer la carte de la prudence et mettre à jour vos systèmes sans attendre. D'autant que certaines failles sont déjà exploitées activement par des attaquants.
Le cas de la vulnérabilité MSHTML est particulièrement intrigant. Celle-ci est classée comme une faille d'usurpation d'identité, et sa description laisse les experts perplexes. Rob Reeves d'Immersive Labs soupçonne qu'elle pourrait permettre l'exécution de code à distance, mais de manière complexe. Sans plus d'informations de Microsoft, il est impossible d'en dire plus.
Ainsi va la vie au pays de Microsoft, entre flou artistique et correctifs en masse. Ce manque de transparence a tout de même le mérite de nous faire rester sur nos gardes. Même les failles jugées moins critiques par Microsoft peuvent cacher de mauvaises surprises. Les vulnérabilités d'élévation de privilèges, par exemple, sont souvent sous-estimées. Pourtant, elles peuvent permettre à un attaquant de prendre le contrôle total d'un système.
Sources : Dark Reading, Microsoft
.
