- Microsoft ne prend pas ces vulnérabilités à la légère et travaille dur pour les corriger.
- En conséquence, janvier 2023 est venu avec un grand nombre de correctifs dédiés à la sécurité.
- Découvrez tout ce qu'il y a à savoir sur cette version de Patch Tuesday ici.
Les vacances sont terminées et nous voilà, en train de lancer une nouvelle année de prospérité et de possibilités. Nous espérons que vous vous sentirez revigoré après vos vacances, car il y a beaucoup à rattraper.
Comme vous le savez, c'est le deuxième mardi du mois, ce qui signifie que les utilisateurs de Windows se tournent vers Microsoft dans l'espoir que certaines des failles avec lesquelles ils se débattent seront enfin corrigées.
Nous avons pris la liberté de fournir le liens de téléchargement direct pour les mises à jour cumulatives publiées aujourd'hui pour Windows 7, 8.1, 10 et 11, mais il est maintenant temps de parler à nouveau des CVE.
Pour janvier, Microsoft a publié 98 nouveaux correctifs, ce qui est bien plus que ce à quoi certaines personnes s'attendaient au début de 2023.
Ces mises à jour logicielles corrigent les CVE dans :
- Microsoft Windows et composants Windows
- Office et composants Office
- .NET Core et Visual Studio Code
- Générateur 3D, conteneur Azure Service Fabric
- Windows BitLocker
- Windows Defender
- Composants du spouleur d'impression Windows
- Serveur Microsoft Exchange
Microsoft a publié 98 nouveaux correctifs de sécurité importants
Voyant à quel point décembre 2022 était un mois assez léger en termes de correctifs de sécurité, les développeurs ont dû prendre le relais en janvier, ce qui est exactement ce qui s'est passé.
Vous aimerez peut-être savoir que, sur les 98 nouveaux CVE publiés, 11 sont classés critiques et 87 sont classés importants en termes de gravité.
Gardez également à l'esprit que ce volume est le plus important que nous ayons vu de Microsoft pour une version de janvier depuis un certain temps.
Parmi toutes ces vulnérabilités traitées ce mois-ci, une seule est répertoriée comme publiquement connue et une est répertoriée comme étant dans la nature au moment de sa publication.
Notez que ces types de bogues sont souvent enveloppés dans une forme d'attaque d'ingénierie sociale, comme convaincre quelqu'un d'ouvrir un fichier ou de cliquer sur un lien.
Examinons de plus près la liste complète des CVE publiées par Microsoft pour janvier 2023 :
| CVE | Titre | Gravité | CVSS | Public | Exploité | Taper |
| CVE-2023-21674 | Vulnérabilité d'élévation de privilèges dans l'appel de procédure locale avancée (ALPC) de Windows | Important | 8.8 | Non | Oui | EoP |
| CVE-2023-21549 | Vulnérabilité d'élévation des privilèges du service de poste de travail Windows | Important | 8.8 | Oui | Non | EoP |
| CVE-2023-21561 | Vulnérabilité d'élévation des privilèges des services de chiffrement Microsoft | Critique | 8.8 | Non | Non | EoP |
| CVE-2023-21551 | Vulnérabilité d'élévation des privilèges des services de chiffrement Microsoft | Critique | 7.8 | Non | Non | EoP |
| CVE-2023-21743 | Vulnérabilité de contournement de la fonctionnalité de sécurité de Microsoft SharePoint Server | Critique | 8.2 | Non | Non | SFB |
| CVE-2023-21730 | Vulnérabilité d'exécution de code à distance des services de chiffrement Windows | Critique | 7.8 | Non | Non | EoP |
| CVE-2023-21543 | Vulnérabilité d'exécution de code à distance du protocole Windows Layer 2 Tunneling Protocol (L2TP) | Critique | 8.1 | Non | Non | CRE |
| CVE-2023-21546 | Vulnérabilité d'exécution de code à distance du protocole Windows Layer 2 Tunneling Protocol (L2TP) | Critique | 8.1 | Non | Non | CRE |
| CVE-2023-21555 | Vulnérabilité d'exécution de code à distance du protocole Windows Layer 2 Tunneling Protocol (L2TP) | Critique | 8.1 | Non | Non | CRE |
| CVE-2023-21556 | Vulnérabilité d'exécution de code à distance du protocole Windows Layer 2 Tunneling Protocol (L2TP) | Critique | 8.1 | Non | Non | CRE |
| CVE-2023-21679 | Vulnérabilité d'exécution de code à distance du protocole Windows Layer 2 Tunneling Protocol (L2TP) | Critique | 8.1 | Non | Non | CRE |
| CVE-2023-21535 | Vulnérabilité d'exécution de code à distance dans le protocole SSTP (Secure Socket Tunneling Protocol) de Windows | Critique | 8.1 | Non | Non | CRE |
| CVE-2023-21548 | Vulnérabilité d'exécution de code à distance dans le protocole SSTP (Secure Socket Tunneling Protocol) de Windows | Critique | 8.1 | Non | Non | CRE |
| CVE-2023-21538 | Vulnérabilité de déni de service .NET | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21780 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21781 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21782 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21784 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21786 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21791 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21793 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21783 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21785 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21787 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21788 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21789 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21790 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21792 | Vulnérabilité d'exécution de code à distance dans 3D Builder | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21531 | Vulnérabilité d'élévation des privilèges du conteneur Azure Service Fabric | Important | 7 | Non | Non | EoP |
| CVE-2023-21563 | Vulnérabilité de contournement de la fonctionnalité de sécurité BitLocker | Important | 6.8 | Non | Non | SFB |
| CVE-2023-21536 | Suivi d'événements pour la vulnérabilité de divulgation d'informations Windows | Important | 4.7 | Non | Non | Info |
| CVE-2023-21753 | Suivi d'événements pour la vulnérabilité de divulgation d'informations Windows | Important | 5.5 | Non | Non | Info |
| CVE-2023-21547 | Vulnérabilité de déni de service du protocole Internet Key Exchange (IKE) | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21724 | Vulnérabilité d'élévation de privilèges dans la bibliothèque principale de Microsoft DWM | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21764 | Vulnérabilité d'élévation des privilèges de Microsoft Exchange Server | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21763 | Vulnérabilité d'élévation des privilèges de Microsoft Exchange Server | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21761 | Vulnérabilité de divulgation d'informations sur Microsoft Exchange Server | Important | 7.5 | Non | Non | Info |
| CVE-2023-21762 | Vulnérabilité d'usurpation de Microsoft Exchange Server | Important | 8 | Non | Non | Usurpation |
| CVE-2023-21745 | Vulnérabilité d'usurpation de Microsoft Exchange Server | Important | 8 | Non | Non | Usurpation |
| CVE-2023-21537 | Microsoft Message Queuing (MSMQ) Vulnérabilité d'élévation des privilèges | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21732 | Vulnérabilité d'exécution de code à distance du pilote ODBC Microsoft | Important | 8.8 | Non | Non | CRE |
| CVE-2023-21734 | Vulnérabilité d'exécution de code à distance dans Microsoft Office | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21735 | Vulnérabilité d'exécution de code à distance dans Microsoft Office | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21741 | Vulnérabilité de divulgation d'informations dans Microsoft Office Visio | Important | 7.1 | Non | Non | Info |
| CVE-2023-21736 | Vulnérabilité d'exécution de code à distance dans Microsoft Office Visio | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21737 | Vulnérabilité d'exécution de code à distance dans Microsoft Office Visio | Important | 7.8 | Non | Non | CRE |
| CVE-2023-21738 | Vulnérabilité d'exécution de code à distance dans Microsoft Office Visio | Important | 7.1 | Non | Non | CRE |
| CVE-2023-21744 | Vulnérabilité d'exécution de code à distance de Microsoft SharePoint Server | Important | 8.8 | Non | Non | CRE |
| CVE-2023-21742 | Vulnérabilité d'exécution de code à distance de Microsoft SharePoint Server | Important | 8.8 | Non | Non | CRE |
| CVE-2023-21681 | Fournisseur Microsoft WDAC OLE DB pour la vulnérabilité d'exécution de code à distance de SQL Server | Important | 8.8 | Non | Non | CRE |
| CVE-2023-21725 | Vulnérabilité d'élévation de privilèges dans Microsoft Windows Defender | Important | 6.3 | Non | Non | EoP |
| CVE-2023-21779 | Vulnérabilité d'exécution de code à distance dans Visual Studio Code | Important | 7.3 | Non | Non | CRE |
| CVE-2023-21768 | Pilote de fonction auxiliaire Windows pour la vulnérabilité d'élévation de privilège WinSock | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21539 | Vulnérabilité d'exécution de code à distance de l'authentification Windows | Important | 7.5 | Non | Non | CRE |
| CVE-2023-21752 | Vulnérabilité d'élévation des privilèges du service de sauvegarde Windows | Important | 7.1 | Non | Non | EoP |
| CVE-2023-21733 | Vulnérabilité d'élévation de privilèges du pilote de filtre de liaison Windows | Important | 7 | Non | Non | EoP |
| CVE-2023-21739 | Vulnérabilité d'élévation des privilèges du pilote Bluetooth Windows | Important | 7 | Non | Non | EoP |
| CVE-2023-21560 | Vulnérabilité de contournement de la fonctionnalité de sécurité du gestionnaire de démarrage Windows | Important | 6.6 | Non | Non | SFB |
| CVE-2023-21726 | Vulnérabilité d'élévation de privilèges dans l'interface utilisateur de Windows Credential Manager | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21540 | Vulnérabilité de divulgation d'informations cryptographiques Windows | Important | 5.5 | Non | Non | Info |
| CVE-2023-21550 | Vulnérabilité de divulgation d'informations cryptographiques Windows | Important | 5.5 | Non | Non | Info |
| CVE-2023-21559 | Vulnérabilité de divulgation d'informations des services de chiffrement Windows | Important | 6.2 | Non | Non | Info |
| CVE-2023-21525 | Vulnérabilité de déni de service du système de fichiers de cryptage Windows (EFS) | Important | 5.9 | Non | Non | DoS |
| CVE-2023-21558 | Vulnérabilité d'élévation de privilèges du service de rapport d'erreurs Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21552 | Vulnérabilité d'élévation de privilèges dans Windows GDI | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21532 | Vulnérabilité d'élévation de privilèges dans Windows GDI | Important | 7 | Non | Non | EoP |
| CVE-2023-21542 | Vulnérabilité d'élévation de privilèges dans le programme d'installation de Windows | Important | 7 | Non | Non | EoP |
| CVE-2023-21683 | Vulnérabilité de déni de service de l'extension Windows Internet Key Exchange (IKE) | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21677 | Vulnérabilité de déni de service de l'extension Windows Internet Key Exchange (IKE) | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21758 | Vulnérabilité de déni de service de l'extension Windows Internet Key Exchange (IKE) | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21527 | Vulnérabilité de déni de service du service Windows iSCSI | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21755 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21754 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21747 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21748 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21749 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21772 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21773 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21774 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21675 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21750 | Vulnérabilité d'élévation des privilèges du noyau Windows | Important | 7.1 | Non | Non | EoP |
| CVE-2023-21776 | Vulnérabilité de divulgation d'informations du noyau Windows | Important | 5.5 | Non | Non | Info |
| CVE-2023-21757 | Vulnérabilité de déni de service dans le protocole Windows Layer 2 Tunneling Protocol (L2TP) | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21557 | Vulnérabilité de déni de service du protocole LDAP (Lightweight Directory Access Protocol) de Windows | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21676 | Vulnérabilité d'exécution de code à distance LDAP (Lightweight Directory Access Protocol) de Windows | Important | 8.8 | Non | Non | CRE |
| CVE-2023-21524 | Vulnérabilité d'élévation de privilèges de l'Autorité de sécurité locale (LSA) de Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21771 | Vulnérabilité d'élévation des privilèges du gestionnaire de session local (LSM) Windows | Important | 7 | Non | Non | EoP |
| CVE-2023-21728 | Vulnérabilité de déni de service Windows Netlogon | Important | 7.5 | Non | Non | DoS |
| CVE-2023-21746 | Vulnérabilité d'élévation de privilège Windows NTLM | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21767 | Vulnérabilité d'élévation de privilèges du filtre de superposition Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21766 | Vulnérabilité de divulgation d'informations du filtre de superposition Windows | Important | 4.7 | Non | Non | Info |
| CVE-2023-21682 | Vulnérabilité de divulgation d'informations dans le protocole PPP (Point-to-Point Protocol) Windows | Important | 5.3 | Non | Non | Info |
| CVE-2023-21760 | Vulnérabilité d'élévation des privilèges du spouleur d'impression Windows | Important | 7.1 | Non | Non | EoP |
| CVE-2023-21765 | Vulnérabilité d'élévation des privilèges du spouleur d'impression Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21678 | Vulnérabilité d'élévation des privilèges du spouleur d'impression Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21759 | Vulnérabilité de contournement de la fonctionnalité de sécurité du serveur de gestion des ressources de la carte à puce Windows | Important | 3.3 | Non | Non | SFB |
| CVE-2023-21541 | Vulnérabilité d'élévation de privilèges du planificateur de tâches Windows | Important | 7.8 | Non | Non | EoP |
| CVE-2023-21680 | Vulnérabilité d'élévation de privilèges Windows Win32k | Important | 7.8 | Non | Non | EoP |
Conseil d'expert :
SPONSORISÉ
Certains problèmes de PC sont difficiles à résoudre, en particulier lorsqu'il s'agit de référentiels corrompus ou de fichiers Windows manquants. Si vous rencontrez des problèmes pour corriger une erreur, votre système peut être partiellement endommagé.
Nous vous recommandons d'installer Restoro, un outil qui analysera votre machine et identifiera le problème.
Cliquez ici pour télécharger et commencer à réparer.
En examinant de plus près les correctifs critiques restants, il existe deux correctifs pour les services cryptographiques, mais nous pouvons les classer davantage comme des escalades de privilèges que comme des RCE.
De plus, il existe cinq correctifs pour le protocole de tunnellisation de couche 2 (L2TP), qui a été introduit dans Windows 2000.
En regardant les 25 bogues d'exécution de code corrigés dans ce déploiement Patch Tuesday, il y a 14 correctifs pour le composant 3D Builder.
Il existe également deux correctifs pour SharePoint pour les bogues RCE qui nécessitent une authentification. Cependant, chaque utilisateur dispose par défaut des autorisations nécessaires pour exploiter ces bogues.
Nous examinons également quelques correctifs liés à SQL. Sachez qu'un attaquant peut exécuter du code s'il parvient à convaincre un utilisateur authentifié de tenter de se connecter à un serveur SQL illicite via ODBC.
Nous devons également mentionner les correctifs de 11 bogues de divulgation d'informations différents ce mois-ci, et sept d'entre eux entraînent simplement des fuites d'informations consistant en un contenu de mémoire non spécifié.
Cette version de janvier corrige 10 bogues de déni de service (DoS) différents, mais Microsoft ne fournit aucun détail réel à propos de ces bogues, il n'est donc pas clair si une exploitation réussie entraîne l'arrêt du service ou le système s'écraser.
Deux bogues d'usurpation d'identité dans le serveur Exchange ont également reçu des correctifs critiques, bien que les descriptions impliquent un impact différent.
Alors que l'un note qu'une exploitation réussie pourrait divulguer des hachages NTLM, l'autre concerne un attaquant authentifié qui pourrait réaliser une exploitation avec une session de communication à distance Powershell sur le serveur.
Néanmoins, assurez-vous de mettre à jour votre serveur Exchange pour vous assurer de corriger les multiples bogues corrigés ce mois-ci.
Avez-vous rencontré d'autres problèmes après avoir installé les mises à jour de sécurité de ce mois-ci? Partagez votre expérience avec nous dans la section des commentaires ci-dessous.
