Microsoft publie son patch Tuesday d’Octobre corrigeant 59 vulnérabilités.

Microsoft a publié son « Patch Tuesday » d’Octobre 2019 corrigeant 59 vulnérabilités. Ce patch, plus léger qu’à l’accoutumée (59 vulnérabilités adressées contrairement aux 80/90 vulnérabilités adressées en temps normal), fait suite aux patchs sortis hors cycle pour corriger les vulnérabilités impactant Internet Explorer et Windows Defender (voir : https://www.cyberveille-sante.gouv.fr/cyberveille/1432-microsoft-publie-un-patch-pour-internet-explorer-et-windows-defender-2019-09-25).

CVE-2019-1372[Score CVSSv3 8.8] : Une vulnérabilité de type « exécution de code à distance » a été identifiée dans le service Azure App. Cette vulnérabilité repose sur une absence de contrôle de la taille du tampon lors d’une copie en mémoire sur la pile Azure Stack. Un attaquant pourrait exploiter cette vulnérabilité afin d’exécuter une fonction à faible privilège avec les droits NT AUTHORITY\System (plus haut niveau de privilège possible).

CVE-2019-1358 / CVE-2019-1359[Score CVSSv3 7.8] : Une mauvaise gestion des objets en mémoire a été identifiée dans le moteur de la base de données Windows Jet. Ces vulnérabilités peuvent amener un attaquant a réaliser une exécution de code arbitraire sur un système victime.

CVE-2019-1327 / CVE- 2019-1331[Score CVSSv3 7.7] : Ces vulnérabilités reposent sur une mauvaise gestion des entrées utilisateurs dans Microsoft Excel. L’ouverture d’un fichier Excel spécialement conçu pourrait entrainer l’exécution d’un code arbitraire sur le système victime.

Microsoft profite également de cette diffusion de correctifs de sécurité pour rappeler aux utilisateurs de Windows 7 (et Windows Server 2008 R2) que la fin du support est prévue pour le 14 janvier 2020 (https://support.microsoft.com/fr-fr/help/4470235/products-reaching-end-of-support-for-2020). Microsoft invite les utilisateurs de ces systèmes d’exploitation à migrer vers un système d’exploitation plus récent (ex : Windows 10).

Microsoft a néanmoins prévu une extension payante avec les Windows 7 Extended Security Updates (ESU) qui seront proposées aux entreprises de toutes tailles (https://www.microsoft.com/microsoft-365/partners/news/article/announcing-paid-windows-7-extended-security-updates).