Avec le deuxième mardi du mois, Microsoft a honoré son rendez-vous mensuel de sécurité afin de corriger un total de 55 vulnérabilités pour ses divers produits. Un Patch Tuesday qui est ainsi plutôt léger par rapport aux standards habituels.
Non critiques, trois des vulnérabilités avec désormais des correctifs idoines ont fait l'objet d'une divulgation publique préalable. Toutefois, il n'est pas fait mention d'une exploitation active dans des attaques.
Quatre vulnérabilités sont classées critiques. Elles sont référencées CVE-2021-31166, CVE-2021-28476, CVE-2021-27068 et CVE-2020-24587.
Vigilance tout de même...
Une attention particulière est portée par plusieurs experts en cybersécurité à la vulnérabilité CVE-2021-31166 qui affecte Windows 10 et Windows Server.
Son exploitation pourrait permettre à un attaquant non authentifié d'exécuter du code à distance au niveau du système d'exploitation. Le problème est au niveau de http.sys et donc dans la pile du protocole HTTP.
Pour Dustin Childs de Zero Day Initiative (Trend Micro) : " Il suffit à un attaquant d'envoyer un paquet spécialement conçu à un serveur vulnérable. Ce bug est wormable (ndlr : pouvant servir à des vers informatiques se propageant sur un réseau). […] Windows 10 peut également être configuré en tant que serveur web et il est donc également touché. "
