Vulnérabilités critiques dans les produits Microsoft (Patch Tuesday Avril 2022)

Date de publication :

Le 12 avril 2022, Microsoft a publié son Patch Tuesday. Ce bulletin présente plusieurs vulnérabilités critiques.

CVE-2022-24473[Score CVSS v3.1: 7.8] 
Une vulnérabilité dans Microsoft Excel permet à un attaquant, en incitant un utilisateur à visiter un site web spécialement forgé, d’exécuter du code arbitraire.

CVE 2022-24491 [Score CVSS v3.1: 9.8] (critique) 
Une faille dans le composant Network File System permet à un attaquant d’exécuter du code arbitraire.

CVE 2022-24521[Score CVSS v3.1: 7.8]
Une faille dans le composant Common Log File System Drive permet à un attaquant authentifié d’exécuter un programme spécialement forgé afin de générer du code arbitraire avec des privilèges plus élevés.

CVE-2022-26809[Score CVSS v3.1: 9.8] (critique)
Une faille dans la librairie du Runtime RPC permet à un attaquant d’exécuter du code arbitraire.

CVE-2022-26914[Score CVSS v3.1: 7.8]
Une faille dans le composant Win32k permet à un attaquant authentifié d’exécuter un programme spécialement forgé afin de générer du code arbitraire avec des privilèges plus élevés.

CVE-2022-26915[Score CVSS v3.1: 7.5]
Un défaut d'utilisation de données en mémoire après libération dans le canal sécurisé de Windows permet à un attaquant distant d’exécuter une commande conçue afin de provoquer un déni de service.

CVE-2022-26917, CVE-2022-26916 et CVE-2022-26918[Score CVSS v3.1: 7.8]
Une faille dans le composant Fax Compose Form permet à un attaquant, en incitant un utilisateur à ouvrir un contenu spécialement forgé, d’exécuter du code arbitraire.

CVE-2022-26919[Score CVSS v3.1: 8.1]
Une vulnérabilité dans le protocole LDAP de Microsoft Windows permet à un attaquant distant d’exécuter un programme spécialement forgé afin de générer du code arbitraire.

CVE-2022-26921[Score CVSS v3.1: 7.3]
Une vulnérabilité dans l’éditeur Microsoft Visual StudioCode permet à un attaquant authentifié d’exécuter un programme spécialement forgé afin de générer du code arbitraire avec des privilèges plus élevés.

CVE-2022-26924[Score CVSS v3.1: 7.5]
Une faille dans le toolkit Microsoft Yarp permet à un attaquant distant d’exécuter une commande conçue afin de provoquer un déni de service

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Élévation de privilèges
  • Exécution de code arbitraire
  • Déni de service

Criticité

  • Score CVSS v3.1: 9.8 max

La faille est activement exploitée

Un correctif existe

  • Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

  • Non, pour l’ensemble des CVE présentées.

Les vulnérabilités exploitées sont du type

Pour les CVE-2022-24473, CVE 2022-24491 et CVE-2022-26809

Pour les CVE 2022-24521

Pour la CVE-2022-26914

Pour les CVE-2022-26915, CVE-2022-26916, CVE-2022-26917, CVE-2022-26918 et CVE-2022-26919

Pour la CVE-2022-26921

  • En cours de calcul

Pour la CVE-2022-26924

Détails sur l’exploitation

Pour la CVE-2022-24473

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE 2022-24491

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE 2022-24521

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-26809

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-26914

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-26915

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour les CVE-2022-26916, CVE-2022-26917, CVE-2022-26918

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.

L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-26919

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Élevée.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-26921

  • Vecteur d’attaque : Local.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-26924

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour la CVE-2022-24473

  • Microsoft Office LTSC 2021 en 32 et 64 bits
  • Microsoft Office LTSC pour Mac 2021
  • Applications Microsoft 365 entreprises en 32 et 64 bits
  • Microsoft Office 2019 pour Mac

Pour la CVE 2022-24491

  • Windows 10 Version 21H2 - ARM64
  • Windows 10 version 21H2 en 32 bits
  • Windows 11 - ARM64
  • Windows 11 pour x64
  • Windows Server, version 20H2
  • Windows 10 version 20H2 pour ARM64
  • Windows 10 version 20H2 en 32 bits
  • Windows 10 version 20H2 pour x64
  • Windows Server 2022 (installation du noyau du serveur)
  • Serveur Windows 2022
  • Windows Server 2016 (installation du noyau du serveur)
  • Windows 10 version 21H2 pour x64
  • Windows 10 version 21H1 en 32 bits
  • Windows 10 version 21H1 pour ARM64
  • Windows 10 version 21H1 pour x64
  • Windows 10 version 1909 pour ARM64
  • Windows 10 version 1909 pour x64
  • Windows 10 version 1909 en 32 bits
  • Windows Server 2019 (installation du noyau du serveur)
  • Serveur Windows 2016
  • Windows 10 version 1607 pour x64
  • Windows 10 version 1607 en 32 bits
  • Windows 10 pour x64
  • Windows 10 en 32 bits
  • Windows RT 8.1
  • Windows 8.1 pour x64
  • Windows 8.1 en 32 bits
  • Serveur Windows 2019
  • Windows 10 version 1809 pour ARM64
  • Windows 10 version 1809 pour x64
  • Windows 10 version 1809 en 32 bits
  • Windows Serveur 2012 R2
  • Windows Server 2012 (installation du noyau du serveur)
  • Serveur Windows 2012
  • Windows Server 2012 R2 (installation du noyau du serveur)

Pour la CVE 2022-24521

  • Windows Server 2012 (installation du noyau du serveur)
  • Serveur Windows 2012
  • Windows Server 2008 R2 pour Service Pack 1
  • Windows Server 2008 pour x64 Service Pack 2
  • Windows Server 2008 en 32 bits Service Pack 2
  • Windows RT 8.1
  • Windows 8.1 pour x64
  • Windows 8.1 en 32 bits
  • Windows 7 pour x64 Service Pack 1
  • Windows Server 2012 R2 (installation du noyau du serveur)
  • Windows Serveur 2012 R2
  • Windows 7 en 32 bits Service Pack 1
  • Windows Server 2016 (installation du noyau du serveur)
  • Serveur Windows 2016
  • Windows 10 version 1607 pour x64
  • Windows 10 version 1607 en 32 bits
  • Windows 10 pour x64
  • Windows 10 en 32 bits
  • Windows 10 Version 21H2 pour x64
  • Windows 10 version 21H2 pour ARM64
  • Windows 10 version 21H2 pour 32 bits
  • Windows 11 pour ARM64
  • Windows 11 pour les systèmes x64
  • Windows Server, version 20H2 (installation du noyau du serveur)
  • Windows 10 version 20H2 pour ARM64
  • Windows 10 version 20H2 en 32 bits
  • Windows 10 version 20H2 pour x64
  • Windows Server 2022 (installation du noyau du serveur)
  • Serveur Windows 2022
  • Windows 10 version 21H1 en 32 bits
  • Windows 10 version 21H1 pour ARM64
  • Windows 10 version 21H1 pour x64
  • Windows 10 version 1909 pour ARM64
  • Windows 10 Version 1909 pour x64
  • Windows 10 version 1909 en 32 bits
  • Windows Server 2019 (installation du noyau du serveur)
  • Serveur Windows 2019
  • Windows 10 version 1809 pour ARM64
  • Windows 10 version 1809 pour x64
  • Windows 10 version 1809 en 32 bits

Pour la CVE-2022-26809

  • Windows 7 en 32 bits Service Pack 1
  • Windows Server 2016 (installation du noyau du serveur)
  • Windows 11 pour ARM64
  • Windows Server, version 20H2 (installation du noyau du serveur)
  • Windows 10 version 20H2 pour ARM64
  • Windows 10 version 1909 pour ARM64
  • Windows 10 Version 1809 pour x64
  • Windows 10 en 32 bits
  • Windows 10 version 21H2 pour x64
  • Windows 10 version 21H2 pour ARM64
  • Windows 10 version 21H2 en 32 bits
  • Windows 10 version 1809 en 32 bits
  • Windows Server 2022 (installation du noyau du serveur)
  • Serveur Windows 2022
  • Windows 10 version 21H1 en 32 bits
  • Windows 10 Version 21H1 pour ARM64
  • Windows 10 Version 21H1 pour x64
  • Windows Server 2012 R2 (installation du noyau du serveur)
  • Windows Serveur 2012 R2
  • Windows Server 2012 (installation du noyau du serveur)
  • Serveur Windows 2012
  • Windows Server 2008 R2 pour x64 Service Pack 1 (installation Server Core)
  • Windows Server 2008 R2 pour x64 Service Pack 1
  • Windows 10 version 20H2 en 32 bits
  • Windows 10 version 20H2 pour x64
  • Windows Server 2008 pour x64 Service Pack 2 (installation Server Core)
  • Serveur Windows 2016
  • Windows 10 version 1607 pour x64
  • Windows 10 version 1607 en 32 bits
  • Windows 10 pour x64
  • Windows 10 version 1909 pour x64
  • Windows 10 version 1909 en 32 bits
  • Windows 10 version 1809 pour ARM64
  • Windows Server 2008 pour x64 Service Pack 2
  • Windows Server 2008 en 32 bits Service Pack 2 (installation Server Core)
  • Windows 8.1 en 32 bits
  • Windows 7 pour x64 Service Pack 1
  • Windows Server 2008 en 32 bits Service Pack 2
  • Windows RT 8.1
  • Windows 8.1 pour x64
  • Windows 11 pour x64
  • Windows Server 2019 (installation du noyau du serveur)
  • Serveur Windows 2019

Pour la CVE-2022-26914

  • Windows 10 version 21H1 en 32 bits
  • Windows 10 version 21H1 pour ARM64
  • Windows 10 version 21H1 pour x64
  • Windows 10 version 1909 pour ARM64
  • Windows 10 version 1909 pour x64
  • Windows 10 version 1909 en 32 bits
  • Windows Server 2019 (installation du noyau du serveur)
  • Serveur Windows 2019
  • Windows 10 version 1809 pour ARM64
  • Windows 10 version 1809 pour x64
  • Windows 10 version 1809 en 32 bits
  • Windows 11 pour les systèmes x64
  • Windows Server, version 20H2 (installation du noyau du serveur)
  • Windows 10 version 20H2 pour ARM64
  • Windows 10 version 20H2 en 32 bits
  • Windows 10 Version 20H2 pour x64
  • Windows Server 2022 (installation du noyau du serveur)
  • Serveur Windows 2022
  • Windows 10 version 21H1 en 32 bits
  • Windows 10 Version 21H1 pour ARM64
  • Windows 10 Version 21H1 pour x64

Pour la CVE-2022-26915

  • Windows 10 version 1607 pour x64
  • Windows 10 version 1607 en 32 bits
  • Windows Serveur 2012 R2
  • Windows Server 2012 (installation du noyau du serveur)
  • Windows Server 2008 pour x64 Service Pack 2
  • Windows 7 en 32 bits Service Pack 1
  • Windows Server 2016 (installation du noyau du serveur)
  • Serveur Windows 2016
  • Windows Server 2008 en 32 bits Service Pack 2 (installation Server Core)
  • Windows Server 2008 en 32 bits Service Pack 2
  • Windows RT 8.1
  • Windows 8.1 pour x64
  • Windows 8.1 en 32 bits
  • Windows 7 pour x64 Service Pack 1
  • Serveur Windows 2012
  • Windows Server 2008 R2 pour x64 Service Pack 1 (installation Server Core)
  • Windows Server 2008 R2 pour x64 Service Pack 1
  • Windows Server 2008 pour x64 Service Pack 2 (installation Server Core)
  • Windows Server 2012 R2 (installation du noyau du serveur)
  • Windows 10 pour x64
  • Windows 10 en 32 bits
  • Windows 10 version 21H2 pour x64
  • Windows 10 version 21H2 pour ARM64
  • Windows 10 version 21H2 en 32 bits
  • Windows 11 pour ARM64
  • Windows Server, version 20H2 (installation du noyau du serveur)
  • Windows 10 version 20H2 pour ARM64
  • Windows 10 version 20H2 en 32 bits
  • Windows 10 version 20H2 pour x64
  • Windows Server 2022 (installation du noyau du serveur)
  • Serveur Windows 2022
  • Windows 10 version 21H1 en 32 bits
  • Windows 10 version 21H1 pour ARM64
  • Windows 10 version 21H1 pour x64
  • Windows 10 version 1909 pour ARM64
  • Windows 10 version 1909 pour x64
  • Windows 10 version 1909 en 32 bits
  • Windows Server 2019 (installation du noyau du serveur)
  • Serveur Windows 2019
  • Windows 10 version 1809 pour ARM64
  • Windows 10 version 1809 pour x64
  • Windows 10 version 1809 en 32 bits

Pour la CVE-2022-26916, CVE-2022-26917, CVE-2022-26919 et CVE-2022-26918

  • Windows Server, version 20H2 (installation du noyau du serveur)
  • Windows Server 2022 (installation du noyau du serveur)
  • Serveur Windows 2022
  • Windows Server 2019 (installation du noyau du serveur)
  • Serveur Windows 2019
  • Windows Server 2016 (installation du noyau du serveur)
  • Serveur Windows 2016
  • Windows Server 2012 R2 (installation du noyau du serveur)
  • Windows Serveur 2012 R2
  • Windows Server 2012 (installation du noyau du serveur)
  • Serveur Windows 2012
  • Windows RT 8.1
  • Windows 8.1 pour x64
  • Windows 8.1 en 32 bits
  • Windows 11 pour x64
  • Windows 11 pour ARM64
  • Windows 10 pour x64
  • Windows 10 en 32 bits
  • Windows 10 Version 21H2 pour x64
  • Windows 10 Version 21H2 pour ARM64
  • Windows 10 version 21H2 en 32 bits
  • Windows 10 Version 21H1 pour x64
  • Windows 10 Version 21H1 pour ARM64
  • Windows 10 version 21H1 en 32 bits
  • Windows 10 Version 20H2 pour x64
  • Windows 10 Version 20H2 pour ARM64
  • Windows 10 version 20H2 en 32 bits
  • Windows 10 Version 1909 pour x64
  • Windows 10 Version 1909 pour ARM64
  • Windows 10 version 1909 en 32 bits
  • Windows 10 Version 1809 pour x64
  • Windows 10 Version 1809 pour ARM64
  • Windows 10 version 1809 en 32 bits
  • Windows 10 version 1607 pour x64

Pour la CVE-2022-26921

  • Visual Studio Code

Pour la CVE-2022-26924

  • YARP 1.1RC
  • YARP 1.0

Solutions ou recommandations

  • Appliquer les correctifs de sécurité proposés par Microsoft dans le Patch Tuesday du mois d’avril 2022.
  • La liste complète des vulnérabilités du Patch Tuesday est disponible ici.
  • Pour la CVE-2022-24473, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE 2022-24491, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE 2022-24521, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26809, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26914, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26915, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26916, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26917, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26919, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26918, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26921, les mises à jour logicielles sont disponibles ici.
  • Pour la CVE-2022-26924, les mises à jour logicielles sont disponibles ici.

 

Liens