Multiples vulnérabilités critiques dans Microsoft (Patch Tuesday)

Date de publication :

 

CVE-2022-30133[Score CVSS v3.1: 9.8] (critique)

Une faille dans le protocole Point-to-Point Tunneling de Microsoft Windows permet à un attaquant distant, en envoyant des requêtes spécialement forgées, d’exécuter du code arbitraire sur le système.

CVE-2022-35744[Score CVSS v3.1: 9.8] (critique)

Une faille dans le protocole Point-to-Point Tunneling de Microsoft Windows permet à un attaquant distant, en exécutant des requêtes spécialement forgées, d’exécuter du code arbitraire sur le système.

CVE-2022-24516[Score CVSS v3.1: 9.8] (critique)

Une faille dans le serveur Exchange de Microsoft Windows permet à un attaquant distant et authentifié, en exécutant un programme spécialement forgé, d’exécuter du code arbitraire avec des privilèges plus élevés.

CVE-2022-34691[Score CVSS v3.1: 8.8]

Une faille dans les services de domaine Active Directory permet à un attaquant distant et authentifié, en envoyant des requêtes spécialement forgées, d’augmenter ses privilèges.

CVE-2022-35804[Score CVSS v3.1: 8.8]

Une faille dans le composant « SMB » de Microsoft Windows permet à un attaquant distant, en envoyant des requêtes spécialement forgées, d’exécuter du code arbitraire sur le système.

CVE-2022-24477[Score CVSS v3.1: 8.8]

Une faille dans le serveur Exchange de Microsoft Windows permet à un attaquant distant et authentifié, en exécutant un programme spécialement forgé, de prendre le contrôle des boites de mail de tous les utilisateurs de Microsoft Exchange.

CVE-2022-21980[Score CVSS v3.1: 8.8]

Une faille dans le serveur Exchange de Microsoft Windows permet à un attaquant distant et authentifié, en persuadant une victime de visiter un site Web spécialement forgé, d’exécuter du code arbitraire avec des privilèges élevés.

CVE-2022-34702, CVE-2022-35766 et CVE-2022-35767[Score CVSS v3.1: 8.1]

Une faille dans le protocole Secure Socket Tunneling de Microsoft Windows permet à un attaquant, en envoyant des demandes de connections spécialement forgées à un serveur accès à distance, d’exécuter du code arbitraire sur le système.

CVE-2022-34714, CVE-2022-35745, CVE-2022-35752 et CVE-2022-35753[Score CVSS v3.1: 8.1]

Une faille dans le protocole Secure Socket Tunneling de Microsoft Windows permet à un attaquant, en envoyant des requêtes spécialement forgées, d’exécuter du code arbitraire sur le système.

CVE-2022-35794[Score CVSS v3.1: 8.1]

Une faille dans le protocole Secure Socket Tunneling de Microsoft Windows permet à un attaquant, en exécutant un programme spécialement forgé, d’exécuter du code arbitraire sur le système.

CVE-2022-34713[Score CVSS v3.1: 7.8]

Une faille dans l’utilitaire de dépannage Support Diagnostic Tool (MSDT) permet à un attaquant, en envoyant un fichier .diagcab (une archive CAB (Microsoft Cabinet) qui contient un fichier de contrôle XML.diagpkg, des scripts PowerShell, etc…) spécialement forgé et en persuadant une victime de l’ouvrir, d’exécuter du code arbitraire sur le système.

CVE-2022-34696[Score CVSS v3.1: 7.8]

Une faille dans le système de virtualisation Hyper-V de Microsoft Windows Server permet à un attaquant local et authentifié, en exécutant un programme spécialement forgé, d’exécuter du code arbitraire sur le système.

CVE-2022-33646[Score CVSS v3.1: 7.0]

Une faille dans le composant « Node Agent » de Microsoft Azure Batch (les machines virtuelles qui se répartissent la charge de travail d’une application) permet à un attaquant distant, en exécutant un programme spécialement forgé, d’exécuter du code arbitraire sur le système.

CVE-2022-30134[Score CVSS v3.1: 5.3]

Une faille dans le serveur Exchange de Microsoft Windows permet à un attaquant distant et authentifié, en persuadant une victime de visiter un site Web spécialement forgé, de lire le contenu de certains Emails.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

    Élévation de privilèges

    Atteinte à la confidentialité des données

Criticité

    Score CVSS v3.1: 9.8 max

La faille est activement exploitée

Un correctif existe

    Oui, pour l’ensemble des CVE présentées

Une mesure de contournement existe

    Oui, pour certaines des CVE présentées

La vulnérabilité exploitée est du type

CWE-20: Improper Input Validation

CWE-264: Permissions, Privileges, and Access Controls

CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')

CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer

CWE-284: Improper Access Control

Détails sur l’exploitation

Pour les CVE-2022-30133 et CVE-2022-35744

    Vecteur d’attaque : Réseau.
    Complexité de l’attaque : Faible.
    Privilèges nécessaires pour réaliser l’attaque : Aucun.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-34691

    Vecteur d’attaque : Réseau.
    Complexité de l’attaque : Faible.
    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour les CVE-2022-35804 et CVE-2022-24477

    Vecteur d’attaque : Réseau.
    Complexité de l’attaque : Faible.
    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour les CVE-2022-34702, CVE-2022-35766, CVE-2022-35767, CVE-2022-34714, CVE-2022-35745, CVE-2022-35752, CVE-2022-35753 et CVE-2022-35794

    Vecteur d’attaque : Réseau.
    Complexité de l’attaque : Élevée.
    Privilèges nécessaires pour réaliser l’attaque : Aucun.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-24516

    Vecteur d’attaque : Réseau.
    Complexité de l’attaque : Faible.
    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-21980

    Vecteur d’attaque : Réseau.
    Complexité de l’attaque : Faible.
    Privilèges nécessaires pour réaliser l’attaque : Aucun.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

Pour la CVE-2022-34713

    Vecteur d’attaque : Local.
    Complexité de l’attaque : Faible.
    Privilèges nécessaires pour réaliser l’attaque : Aucun.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-34696

    Vecteur d’attaque : Local.
    Complexité de l’attaque : Haute.
    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-30134

    Vecteur d’attaque : Réseau.
    Complexité de l’attaque : Faible.
    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour la CVE-2022-33646

    Vecteur d’attaque : Local.
    Complexité de l’attaque : Haute.
    Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour les CVE-2022-30133, CVE-2022-35744, CVE-2022-34691, CVE-2022-34702, CVE-2022-35767, CVE-2022-34714, CVE-2022-35752 et CVE-2022-35753

    Microsoft Windows Server (installation Server Core) 2012 R2

    Microsoft Windows Server 2012 R2

    Microsoft Windows Server (installation du noyau du serveur) 2012

    Microsoft Windows Server 2012

    Microsoft Windows Server pour les systèmes basés sur X64 (installation Server Core) 2008 R2 SP1

    Microsoft Windows Server pour les systèmes basés sur X64 2008 R2 SP1

    Microsoft Windows Server pour les systèmes basés sur X64 (installation Server Core) 2008 R2 SP2

    Microsoft Windows Server pour les systèmes basés sur X64 2008 R2 SP2

    Microsoft Windows Server pour les systèmes basés sur 32-bit (installation Server Core) 2008 R2 SP2

    Microsoft Windows Server pour les systèmes basés sur 32-bit 2008 R2 SP2

    Microsoft Windows RT 8.1

    Microsoft Windows 8.1 x64

    Microsoft Windows 8.1 32-bit

    Microsoft Windows 7 SP1 x64

    Microsoft Windows 7 SP1 32-bit

    Microsoft Windows Server (installation du noyau du serveur) 2016

    Microsoft Windows Server 2016

    Microsoft Windows 10 1607 pour les systèmes x64

    Microsoft Windows 10 1607 pour les systèmes 32-bit

    Microsoft Windows 10 x64

    Microsoft Windows 10 32-bit

    Microsoft Windows 10 21H1 pour les systèmes 32 bits

    Microsoft Windows 10 21H1 pour les systèmes basés sur ARM64

    Microsoft Windows 10 21H1 pour les systèmes x64

    Microsoft Windows 11 x64

    Microsoft Windows 11 ARM64

    Microsoft Windows Server (installation du noyau du serveur) 20H2

    Microsoft Windows 10 20H2 pour les systèmes 32-bit

    Microsoft Windows 10 20H2 pour les systèmes basés sur ARM64

    Microsoft Windows 10 20H2 pour les systèmes x64

    Microsoft Windows Server (installation du noyau du serveur) 2022

    Microsoft Windows Server 2022

    Microsoft Windows 10 21H2 pour les systèmes 32-bit

    Microsoft Windows 10 21H2 pour les systèmes basés sur ARM64

    Microsoft Windows 10 21H2 pour les systèmes x64

    Microsoft Windows Server (installation du noyau du serveur) 2019

    Microsoft Windows Server 2019

    Microsoft Windows 10 1809 pour les systèmes 32-bit

    Microsoft Windows 10 1809 pour les systèmes basés sur ARM64

    Microsoft Windows 10 1809 pour les systèmes x64

Pour la CVE-2022-35804

    Microsoft Windows 11 x64

    Microsoft Windows 11 ARM64

Pour la CVE-2022-35766 et CVE-2022-35794

    Microsoft Windows 10 21H2 pour les systèmes 32-bit

    Microsoft Windows 10 21H2 pour les systèmes basés sur ARM64

    Microsoft Windows 10 21H2 pour les systèmes x64

    Microsoft Windows Server (installation du noyau du serveur) 2022

    Microsoft Windows Server 2022

    Microsoft Windows 11 x64

    Microsoft Windows 11 ARM64

    Microsoft Windows Server (installation du noyau du serveur) 20H2

    Microsoft Windows 10 20H2 pour les systèmes 32-bit

    Microsoft Windows 10 20H2 pour les systèmes basés sur ARM64

    Microsoft Windows 10 20H2 pour les systèmes x64

    Microsoft Windows Server (installation du noyau du serveur) 2019

    Microsoft Windows Server 2019

    Microsoft Windows 10 1809 pour les systèmes basés sur ARM64

Pour les CVE-2022-21980, CVE-2022-24477, CVE-2022-30134 et CVE-2022-24516

    Microsoft Exchange server 2016 Cumulative Update 23

    Microsoft Exchange server 2019 Cumulative Update 12

    Microsoft Exchange server 2016 Cumulative Update 22

    Microsoft Exchange server 2019 Cumulative Update 11

    Microsoft Exchange server 2013 Cumulative Update 23

Pour la CVE-2022-34713

    Microsoft Windows Server (installation Server Core) 2012 R2

    Microsoft Windows Server 2012 R2

    Microsoft Windows Server (installation du noyau du serveur) 2012

    Microsoft Windows Server 2012

    Microsoft Windows Server pour les systèmes basés sur X64 (installation Server Core) 2008 R2 SP1

    Microsoft Windows Server pour les systèmes basés sur X64 2008 R2 SP1

    Microsoft Windows RT 8.1

    Microsoft Windows 8.1 x64

    Microsoft Windows 8.1 32-bit

    Microsoft Windows 7 SP1 x64

    Microsoft Windows 7 SP1 32-bit

    Microsoft Windows Server (installation du noyau du serveur) 2016

    Microsoft Windows Server 2016

    Microsoft Windows 10 1607 pour les systèmes x64

    Microsoft Windows 10 1607 pour les systèmes 32-bit

    Microsoft Windows 10 x64

    Microsoft Windows 10 32-bit

    Microsoft Windows 10 21H1 pour les systèmes 32 bits

    Microsoft Windows 10 21H1 pour les systèmes basés sur ARM64

    Microsoft Windows 10 21H1 pour les systèmes x64

    Microsoft Windows 11 x64

    Microsoft Windows 11 ARM64

    Microsoft Windows Server (installation du noyau du serveur) 20H2

    Microsoft Windows 10 20H2 pour les systèmes 32-bit

    Microsoft Windows 10 20H2 pour les systèmes basés sur ARM64

    Microsoft Windows 10 20H2 pour les systèmes x64

    Microsoft Windows Server (installation du noyau du serveur) 2022

    Microsoft Windows Server 2022

    Microsoft Windows 10 21H2 pour les systèmes 32-bit

    Microsoft Windows 10 21H2 pour les systèmes basés sur ARM64

    Microsoft Windows 10 21H2 pour les systèmes x64

    Microsoft Windows Server (installation du noyau du serveur) 2019

    Microsoft Windows Server 2019

    Microsoft Windows 10 1809 pour les systèmes 32-bit

    Microsoft Windows 10 1809 pour les systèmes basés sur ARM64

    Microsoft Windows 10 1809 pour les systèmes x64

Pour la CVE-2022-34696

    Microsoft Windows Server (installation Server Core) 2012 R2

    Microsoft Windows Server 2012 R2

    Microsoft Windows 8.1 x64

    Microsoft Windows Server (installation du noyau du serveur) 2016

    Microsoft Windows Server 2016

    Microsoft Windows 10 1607 pour les systèmes x64

    Microsoft Windows 10 x64

    Microsoft Windows 10 21H1 pour les systèmes x64

    Microsoft Windows 11 x64

    Microsoft Windows Server (installation du noyau du serveur) 20H2

    Microsoft Windows 10 20H2 pour les systèmes x64

    Microsoft Windows Server (installation du noyau du serveur) 2022

    Microsoft Windows Server 2022

    Microsoft Windows 10 21H2 pour les systèmes x64

    Microsoft Windows Server (installation du noyau du serveur) 2019

    Microsoft Windows Server 2019

    Microsoft Windows 10 1809 pour les systèmes x64

Pour la CVE-2022-33646

    Microsoft Azure Batch

Solutions ou recommandations

  • Appliquer les correctifs de sécurité proposés par Microsoft dans le Patch Tuesday du mois d’aout 2022.

  • La liste complète des mises à jour de vulnérabilités du Patch Tuesday est disponible ici.

  • Pour Windows 7 SP1, appliquer la mise à jour cumulative KB5016676.

  • Pour Windows 8.1, appliquer la mise à jour cumulative KB5016681.

  • Pour Windows 10 20H2, 21H1 et 21H2, appliquer la mise à jour cumulative KB5016616.

  • Pour Windows 11, appliquer la mise à jour cumulative KB5016629.

Liens