Microsoft sécurise ses services : 150 failles corrigées, dont deux critiques pour Windows 11

Cette semaine, Microsoft a vraiment assuré avec le déploiement de son Patch Tuesday d'avril 2024. On parle ici de la correction de 150 vulnérabilités, et pas des moindres puisque 67 d'entre elles concernaient des failles d'exécution de code à distance (RCE), ce qui a pas mal fait jaser dans le monde de la tech. Pour ceux qui l'ignorent, le Patch Tuesday, ou Update Tuesday, c'est ce moment du mois où Microsoft balance ses dernières mises à jour de sécurité.

Ce patch d’avril, que beaucoup attendaient avec impatience, a notamment mis le holà à deux vulnérabilités assez sérieuses de Windows 11. La première, sous le doux nom de CVE-2024-26234, impliquait une vulnérabilité de spoofing assez sérieuse liée aux pilotes proxy. La seconde, la CVE-2024-29988, faisait en sorte que certaines pièces jointes pouvaient esquiver les alertes de Microsoft Defender Smartscreen lorsqu’on tentait d'ouvrir le fichier. Des experts de Varonis ont également mis le doigt sur deux failles dans Microsoft SharePoint qui compliquent la détection de téléchargements de fichiers depuis des serveurs. En prime, 26 failles liées au démarrage sécurisé ont été corrigées, soulignant l’importance de blinder les systèmes dès le départ.

La sécurité, c’est du sérieux chez Microsoft

Les failles corrigées couvraient toute une panoplie de soucis de sécurité. On a notamment vu des failles RCE qui persistaient dans les pilotes Microsoft SQL malgré des correctifs antérieurs, montrant qu'une faille commune continuait de poser problème. Il y avait également 31 vulnérabilités d'élévation de privilèges, 29 failles permettant de contourner des fonctionnalités de sécurité, 13 fuites d'informations et 7 attaques par déni de service.

En parlant de mises à jour chez d'autres acteurs du secteur, Cisco, Google et Ivanti n'étaient pas en reste avec leurs propres correctifs. Ce mois-ci, Cisco a patché plusieurs produits, Google a résolu des vulnérabilités zero-day affectant ses appareils Pixel et Chrome, et Ivanti a colmaté des brèches dans sa passerelle VPN. Et pour ne pas être en reste, de nouvelles failles préoccupantes dans le LG WebOS ont été identifiées, menaçant potentiellement des milliers de téléviseurs connectés.

De plus, Microsoft a dû intervenir sur deux vulnérabilités zero-day qui avaient été exploitées par le groupe de hackers Water Hydra, lesquels visaient des forums de trading de devises et des canaux de trading d'actions sur Telegram pour lancer des attaques de spearphishing via le cheval de Troie DarkMe. Ces révélations renforcent l'idée que les mises à jour de sécurité ne sont pas juste une formalité mais une nécessité absolue pour la sécurité de nos systèmes informatiques. Alors chapeau, Microsoft, pour ce Patch Tuesday vraiment costaud!