Microsoft corrige un total de 77 vulnérabilités à l’occasion du Patch Tuesday du mois de juillet 2019. Elles concernent plusieurs de ses applications dont Windows, Office, .NET et SQL.
Cette grande maintenance mensuelle est à l’origine de la correction de deux failles dites « Zero Day ». Elles sont déjà exploitées. La première est référencée sous le numéro CVE-2019-0880. Jugée importante, elle touche Windows 8.1, Windows 10, Windows Server 2012, Windows Server 2016 et Windows Server 2019. Ce bug permet une élévation des privilèges et l’exécution de codes arbitraires.
Le géant explique
«Une vulnérabilité d’élévation locale des privilèges existe dans la façon dont splwow64.exe traite certains appels. Un attaquant qui parviendrait à exploiter cette vulnérabilité peut élever les privilèges d’un système […]. Cette vulnérabilité en elle-même ne permet pas l’exécution de code arbitraire; toutefois, il pourrait permettre son exécution si l’attaquant l’utilisait en combinaison avec une autre vulnérabilité […]. »
Patch Tuesday et les failles Zero Day
La deuxième faille Zero Day (CVE-2019-1132) concerne uniquement Windows 7 et Windows Server 2008. Windows 10 n’est pas concerné. Microsoft indique que cette vulnérabilité touche Win32. Elle offre la possibilité à une attaque de prendre le contrôle d’un système.
«Une vulnérabilité d’élévation des privilèges existe dans Windows lorsque le composant Win32k ne parvient pas à gérer correctement les objets en mémoire. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire en mode noyau. Un attaquant pourrait alors installer des programmes, afficher, modifier ou supprimer des données; ou créer de nouveaux comptes avec des droits d’utilisateur complets. »
Ce Patch Tuesday propose de nombreux autres correctifs. Certains concernent des outils de développement comme .NET Core et ASP .NET Core. Des mises à jour de la pile de maintenance réseau sont également proposées pour Windows 10, Windows 8.1 et Windows 8 Embedded.
