Microsoft déploie un correctif Windows pour le Zero-Day activement exploité, plus de bogues
Dans le dernier correctif pour leur système d'exploitation publié cette semaine, Microsoft a corrigé jusqu'à 66 bogues documentés. Comme prévu, tous ne sont pas critiques, mais plusieurs ont reçu des notes « critiques » sur leurs entrées CVE et l'un d'entre eux est en fait exploité dans la nature par des acteurs malveillants.
La vulnérabilité qui serait déjà exploitée par des acteurs malveillants dans la nature est codifiée sous le nom CVE-2021-40444 et est un bogue d'exécution de code à distance MSHTML. Selon les rapports de ThreatPost, la vulnérabilité 40444 est exploitée activement par des pirates depuis environ un demi-mois maintenant, avec des discussions sur le dark web et des tutoriels sur la façon exacte de l'exploiter.
La gamme de bogues couverts par le «Patch Tuesday» de la mi-septembre affecte à la fois le système d'exploitation Windows, ainsi qu'un certain nombre de composants Windows, notamment le navigateur Edge, le package Office de Microsoft et les serveurs SharePoint.
« Patch Tuesday » est le nom donné au deuxième mardi de chaque mois, lorsque la plupart des entreprises publient des correctifs et des correctifs de sécurité pour leurs applications populaires.
Au cours de 2021, le nombre moyen de problèmes résolus par Microsoft avec chaque Patch Tuesday a été systématiquement inférieur aux mêmes périodes de 2020. Alors qu'en 2020, la majorité des rapports de Patch Tuesday incluaient bien plus de 100 bugs, le nombre est tombé à moins de 100 régulièrement au cours des sept premiers mois de l'année.
Quant au bogue CVE-2021-40444, selon la propre description du problème par Microsoft, il pourrait permettre aux attaquants de créer un contrôle ActiveX malveillant intégré dans les fichiers de documents MS Office, qui hébergent à leur tour le même moteur de rendu utilisé par le navigateur. Tout ce qui resterait aux pirates serait de tromper la victime pour qu'elle ouvre le document chargé de logiciels malveillants.
Cela se fait généralement par le biais de diverses astuces d'ingénierie sociale et d'e-mails et d'escroqueries chargés de logiciels malveillants qui tentent d'inciter les utilisateurs à ouvrir les pièces jointes malveillantes contenues dans les e-mails.
