Le point de vue d'Akamai sur le Patch Tuesday de février 2023

CVE-2023-21823

Commençons par la vulnérabilité d'exécution de code à distance (RCE) dans le composant graphique de Windows. Bien que la vulnérabilité concerne une exploitation à distance, le vecteur d'attaque est répertorié comme local. Il est donc plutôt question d'une vulnérabilité d'exécution de code arbitraire (ACE) qui nécessite l'intervention d'un utilisateur sur un fichier téléchargé.

Curieusement, cette CVE concerne également Microsoft Office, y compris les versions iOS et Android. Par conséquent, la mise à jour n'est pas seulement administrée via Windows Update, mais également par le biais de Microsoft Store, Google Play et App Store. Ainsi, si vous avez désactivé les mises à jour automatiques dans l'une des boutiques en ligne, pensez à installer ces dernières manuellement sur vos terminaux.

CVE-2023-21715

Il s'agit d'une vulnérabilité de contournement de sécurité dans Microsoft Publisher. Elle concerne plus précisément le marqueur « Mark-of-the-Web » (MOTW). En règle générale, les fichiers téléchargés à partir d'Internet sont marqués en interne, de sorte que le système d'exploitation ou les programmes ne les approuvent et ne les exécutent pas automatiquement (ni les macros qu'ils contiennent). Dans ce cas précis, Microsoft Publisher ne gérait pas le marqueur MOTW et permettait l'exécution de macros dans les fichiers téléchargés à partir du Web. Ce problème a été corrigé grâce à cette CVE. Haifei Li, chercheur en sécurité, a d'ailleurs rédigé une analyse plus détaillée sur Twitter.

CVE-2023-23376

Il s'agit d'une vulnérabilité d'escalade de privilèges du pilote Common Log File System de Windows qui permet aux attaquants d'obtenir des privilèges SYSTÈME. Aucun détail supplémentaire n'est disponible actuellement.

iSCSI est un protocole utilisé pour se connecter aux terminaux de stockage SCSI. Sous Windows, les machines disposent du processus iSCSI Initiator et du service Microsoft iSCSI Initiator. Aucune exécution par défaut n'est possible : les deux processus doivent être exécutés et configurés manuellement. D'après nos observations, seulement 3 % des utilisateurs réseau disposent de machines exécutant Windows iSCSI.

Ce mois-ci compte une RCE critique et trois CVE DoS. Bien que cela ne soit pas explicitement mentionné, nous supposons que ces CVE sont liées au service Microsoft iSCSI Initiator. En outre, il est également important de noter que la RCE ne fonctionne que sur les machines 32 bits.

Q : Mes terminaux sont en train d'envoyer des cartes de Saint-Valentin électroniques décorées d'animaux mignons et je ne peux donc pas appliquer les correctifs ou redémarrer. Comment puis-je les protéger en attendant ?

Par chance, le service iSCSI ne s'exécute pas par défaut. Par conséquent, vous pouvez mapper les terminaux qui l'exécutent et créer des stratégies de segmentation en conséquence. Le service iSCSI ne génère pas énormément de connexions entrantes ; la microsegmentation est donc une solution idéale pour restreindre l'accès au service depuis l'extérieur du terminal. Vous avez ainsi donc plus de temps pour libérer vos terminaux afin d'appliquer les correctifs.

Pour mapper des terminaux avec iSCSI, il vous suffit de rechercher des connexions via les ports TCP 860 et 3260 (les ports iSCSI par défaut). Vous pouvez également rechercher le service lui-même : service Microsoft iSCSI Initiator.

Vous trouverez ci-dessous la requête osquery correspondante :

Ce mois-ci, le serveur SQL de Microsoft compte trois CVE RCE. Deux d'entre elles (avec un score CVSS de base de 8,8) concernent la fonction facultative SQL Data Quality Services (DQS). La troisième, quant à elle, a obtenu un score CVSS de 7,8. D'après nos observations, 60 % des réseaux sont équipés de serveurs MSSQL et 40 % de la fonction DQS.

Dans la mesure où les serveurs SQL contiennent généralement des informations sensibles, ces derniers doivent être segmentés et soumis à des restrictions de contrôle d'accès afin d'éviter tout risque de vol de données. Si vous n'avez pas mis en place de stratégies de ce type, le moment est venu de les ajouter. Mappez vos serveurs MSSQL existants (soit en recherchant le service MSSQL, soit en recherchant les connexions sur les ports 1433,1434). Une fois ces serveurs mappés, créez des stratégies de segmentation en fonction du trafic existant et des autres services nécessitant l'accès (p. ex., en permettant au service informatique d'accéder à l'ensemble des informations, au service financier d'accéder aux informations financières, etc.). Profitez-en également pour déterminer qui sont les acteurs malveillants qui accèdent à des bases de données auxquelles ils ne devraient pas accéder.

Ce mois-ci compte sept autres CVE OLE et ODBC liées à SQL. Nous les avons déjà abordées dans des avis précédents et nos recommandations à leur sujet n'ont pas changé (les CVE semblent également similaires). Pour en savoir plus, reportez-vous à la section Services précédemment couverts.

Microsoft Word compte une CVE RCE critique (score CVSS de 9,8) liée aux fichiers RTF. (Qui n'aime pas recevoir de belles roses rouges le jour de la Saint-Valentin ?)

Dans le cas de cette CVE, les fichiers RTF spécialement conçus peuvent déclencher l'exécution de commandes lorsqu'ils sont ouverts dans Word. Cela affecte également le volet Aperçu et SharePoint. Par chance, Microsoft dispose de deux solutions d'atténuation possibles :

• MS08-026, qui empêche Word d'ouvrir les fichiers RTF.

• KB922849, qui fournit des informations concernant le blocage de l'ouverture de fichiers à partir de dossiers spécifiques.

Services précédemment couverts