La grande maintenance mensuelle de Microsoft, le Patch Tuesday d’octobre 2018 a donné naissance à plusieurs mises à cumulatives. Elles colmatent un ensemble de 49 failles de sécurité.
Cette liste concerne principalement les navigateurs Internet avec un total de 33 problèmes de sécurité. Nous avons également deux vulnérabilité jugées importantes.
Tout d’abord, CVE-2018-8453 est une vulnérabilité dite Zero-Day affectant le système d’exploitation Windows. Elle touche toutes les versions de l’OS que nous parlions de version serveur ou client. L’exploitation de cette faille permet une élévation de privilège et une prise de contrôle de l’ordinateur.
Patch Tuesday, la sécurité
Le géant explique
« Une vulnérabilité d’élévation des privilèges existe dans Windows lorsque le composant Win32k ne parvient pas à gérer correctement les objets en mémoire. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire en mode noyau. Un attaquant pourrait alors installer des programmes, modifier ou supprimer des données ou créer de nouveaux comptes avec des droits d’utilisateur complets »
Pour réussir, l’attaque doit se connecter au système pour utiliser une application spécialement construite. Si elle réussit, son auteur peut prendre le contrôle intégral du système.
La deuxième vulnérabilité est indexée sous la référence CVE-2018-8423. Elle a été publiquement divulguée. C’est une faille « RCE » touchant le moteur de base de données de Microsoft JET. Elle concerne toutes les versions de Windows. Son exploitation demande l’utilisation d’un fichier « Microsoft JET Database Engine » spécialement développé. Il est conseillé d’éviter d’ouvrir des fichiers en provenance de sources non fiables. Microsoft souligne qu’à sa connaissance aucune attaque fondées sur cette faille a été observée.
Il n’y a pas de correctif pour Adobe Flash Player ce mois-ci, ce qui est une bonne nouvelle. Enfin Windows 10 v 1809 (October 2018 Update) fait sa première apparition dans le patch Tuesday tandis que Windows 10 v1703 (Creators Update) tire sa révérence. Microsoft abandonne officiellement sa maintenance.
