Multiples vulnérabilités critiques dans Microsoft (Patch Tuesday)

Date de publication : 12/10/2022

Un cluster Kubernetes est un groupe de machines, appelées « nœuds », permettant d'exécuter des applications conteneurisées.

CVE-2022-41033[Score CVSS v3.1:7.8] (critique)

Une faille dans le service de système d'événements COM+ de Microsoft Exchange Server permet à un attaquant, en exécutant un programme spécialement forgé, d’exécuter du code arbitraire avec des privilèges élevés.

CVE-2022-41040[Score CVSS v3.1:8.8]

Une mauvaise validation des entrées fournies par l'utilisateur dans l'interface Exchange OWA de Microsoft Exchange permet à un attaquant distant, via une attaque de type « Server-Side Request Forgery », de contourner la politique de sécurité du système.

CVE-2022-41082[Score CVSS v3.1:8.8]

Une faille de sécurisation de l’interface PowerShell dans Microsoft Exchange permet à un attaquant distant, en envoyant une requête spécialement forgée, d’exécuter du code arbitraire sur le système.

CVE-2022-37968[Score CVSS v3.1:10] (critique)

Une faille dans le cluster Kubernetes de Microsoft Azure permet à un attaquant distant, en envoyant une requête spécialement forgée, de compromettre le cluster Kubernetes avec des privilèges élevés.

CVE-2022-38048[Score CVSS v3.1:7.8]

Une erreur dans la suite logicielle Microsoft Office permet à un attaquant, en envoyant une requête spécialement forgée, d’exécuter du code arbitraire sur le système.

CVE-2022-41038 [Score CVSS v3.1:8.8]

Une faille dans Microsoft SharePoint permet à un attaquant distant, en envoyant une requête spécialement forgée, d’exécuter du code arbitraire sur le système.

CVE-2022-37979[Score CVSS v3.1:7.8]

Une faille de type « condition de concurrence » dans le composant Hyper-V de Microsoft Windows permet à un attaquant, en remportant cette condition de concurrence, d’obtenir les privilèges le plus élevés.

CVE-2022-37976[Score CVSS v3.1:8.8]

Une erreur dans le composant Active Directory Certificate Services de Microsoft Windows permet à un attaquant distant, en forçant un serveur DCOM à s'authentifier via ce service, d’obtenir les privilèges les plus élevés.

CVE-2022-33634,CVE-2022-22035, CVE-2022-24504, CVE-2022-38047, CVE-2022-41081, CVE-2022-30198, CVE-2022-38000 [Score CVSS v3.1:8.1]

Un défaut de type « condition de concurrence » dans le protocole de connexion point à point de Microsoft Windows (PPTP) permet à un attaquant distant, en envoyant un paquet PPTP spécialement forgé à un serveur PPTP et en gagnant la condition de concurrence, d’exécuter du code arbitraire sur le serveur ciblé.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

Exécution de code arbitraire (à distance)

Élévation de privilèges

Contournement de la politique de sécurité

Criticité

Score CVSS v3.1: 10 (critique)

La faille est activement exploitée

Oui, pour les CVE-2022-41033, CVE-2022-41040 et CVE-2022-41082.

Un correctif existe

Non, pour les CVE-2022-41040 et CVE-2022-41082.

Une mesure de contournement existe

Oui, pour les CVE-2022-41040 et CVE-2022-41082.

Les vulnérabilités exploitées sont du type

Pour la CVE-2022-41033

CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer

Pour la CVE-2022-41040

CWE-918: Server-Side Request Forgery

Pour la CVE-2022-41082

CWE-94: Improper Control of Generation of Code

Pour la CVE-2022-37968 et CVE-2022-37976

CWE-264: Permissions, Privileges, and Access Controls

Pour la CVE-2022-38048 et CVE-2022-41038

CWE-20: Improper Input Validation

Pour la CVE-2022-37979

CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization

Pour les CVE-2022-33634,CVE-2022-22035, CVE-2022-24504, CVE-2022-38047, CVE-2022-41081, CVE-2022-30198, CVE-2022-38000

CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization

Détails sur l’exploitation

Pour les CVE-2022-33634,CVE-2022-22035, CVE-2022-24504, CVE-2022-38047, CVE-2022-41081, CVE-2022-30198, CVE-2022-38000

Vecteur d’attaque : Réseau.

Complexité de l’attaque : Élevée.

Privilèges nécessaires pour réaliser l’attaque : Aucun.