Vulnérabilités dans Microsoft (Patch Tuesday janvier 2022)

Date de publication :

Microsoft Windows a publié le patch Tuesday du mois de janvier. Il s’agit  de correctifs concernant 126 vulnérabilités. Ce bulletin présente les vulnérabilités les plus critiques, ainsi qu’un regroupement des plus importantes par risques respectifs.

CVE-2022-21907[Score CVSS v3.1: 9.8]

L’éditeur a remarqué la présence d’une vulnérabilité dans la pile de protocoles http. L’exploitation de cette vulnérabilité peut permettre l’exécution de code arbitraire à distance.

CVE-2022-21849[Score CVSS v3.1: 9.8]

Cette vulnérabilité concerne l’extension du module de génération des clés IKE (Internet Key Exchange) de Windows. L’exploitation de cette vulnérabilité peut permettre l’exécution de code arbitraire à distance.

CVE-2022-21901[Score CVSS v3.1: 9.0]

L’éditeur a identifié une vulnérabilité dans le système de virtualisation Hyper-V. L’exploitation de cette vulnérabilité peut permettre à l’attaquant d’élever ses privilèges.

CVE-2022-21846    CVE-2022-21969   [Score CVSS v3.1: 9.0/9.0]

Ces vulnérabilités ont été découvertes dans le serveur Microsoft Exchange. L’exploitation de ces vulnérabilités peut permettre l’exécution de code arbitraire à distance.

Les autres vulnérabilités importantes sont les suivantes :

CVE-2022-21855  CVE-2022-21850  CVE-2022-21837  CVE-2022-21912  CVE-2022-21878CVE-2022-21917 [Score CVSS v3.1: 9.0 / 8.8 / 8.3 / 7.8 / 7.8 / 7.8]

Ces vulnérabilités concernent un risque d’exécution de code arbitraire à distance.

CVE-2022-21857  CVE-2022-21920  CVE-2022-21833  CVE-2022-21895  CVE-2022-21908   CVE-2022-21882 CVE-2022-21896  CVE-2022-21887 [Score CVSS v3.1 : 8.8 / 8.8 / 7.8 / 7.8 / 7.8 / 7.8/ 7 / 7]

Ces vulnérabilités concernent un risque d’élévation de privilèges.

CVE-2022-21911  CVE-2022-21890  CVE-2022-21848  [Score CVSS v3.1 :  7.5 / 7.5 / 7.5]

Ces vulnérabilités concernent un risque de déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire
    Élévation de privilèges
    Déni de service
    Contournement de la politique de sécurité

Criticité

    Score CVSS v3.1: 9.8 max

La faille est activement exploitée

    Pour la CVE-2022-21882 : oui, elle est activement exploitée.
    Les autres CVE présentés dans ce bulletin ne sont pas exploitées.

Un correctif existe

     Oui pour l’ensemble des CVE présentés

Une mesure de contournement existe

    Non pour l’ensemble des CVE présentés

Les vulnérabilités exploitées sont du type

Pour la CVE-2022-21882 :

Détails sur l’exploitation

Pour la CVE-2022-21907,  CVE-2022-21849

    Vecteur d’attaque : réseau
    Complexité de l’attaque : Faible
    Privilèges nécessaires pour réaliser l’attaque : Aucun
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non

Pour la CVE-2022-21901

    Vecteur d’attaque : Adjacent
    Complexité de l’attaque : Faible
    Privilèges nécessaires pour réaliser l’attaque : authentification utilisateur simple
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui

Pour la CVE-2022-21846CVE-2022-21969

    Vecteur d’attaque : Adjacent
    Complexité de l’attaque : Faible
    Privilèges nécessaires pour réaliser l’attaque : authentification utilisateur simple
    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non
    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non

Composants vulnérables.

Pour la CVE-2022-21907

    Windows 10 Version 21H2 for x64-based Systems
    Windows Server 2019 (Server Core installation)
    Windows Server 2019
    Windows 10 Version 1809 for ARM64-based Systems
    Windows 10 Version 1809 for x64-based Systems
    Windows 10 Version 1809 for 32-bit Systems
    Windows 10 Version 21H2 for ARM64-based Systems
    Windows 10 Version 21H2 for 32-bit Systems
    Windows 11 for ARM64-based Systems
    Windows 11 for x64-based Systems
    Windows Server, version 20H2 (Server Core Installation)
    Windows 10 Version 20H2 for ARM64-based Systems
    Windows 10 Version 20H2 for 32-bit Systems
    Windows 10 Version 20H2 for x64-based Systems
    Windows Server 2022 (Server Core installation)
    Windows Server 2022
    Windows 10 Version 21H1 for 32-bit Systems
    Windows 10 Version 21H1 for ARM64-based Systems
    Windows 10 Version 21H1 for x64-based Systems

Pour la CVE-2022-21849

    Windows Server 2016 (Server Core installation)
    Windows Server 2016
    Windows 10 Version 1607 for x64-based Systems
    Windows 10 Version 1607 for 32-bit Systems
    Windows 10 for x64-based Systems
    Windows 10 for 32-bit Systems
    Windows 10 Version 21H2 for x64-based Systems
    Windows 10 Version 21H2 for ARM64-based Systems
    Windows 10 Version 21H2 for 32-bit Systems
    Windows 11 for ARM64-based Systems
    Windows 11 for x64-based Systems
    Windows Server, version 20H2 (Server Core Installation)
    Windows 10 Version 20H2 for ARM64-based Systems
    Windows 10 Version 20H2 for 32-bit Systems
    Windows 10 Version 20H2 for x64-based Systems
    Windows Server 2022 (Server Core installation)
    Windows Server 2022
    Windows 10 Version 21H1 for 32-bit Systems
    Windows 10 Version 21H1 for ARM64-based Systems
    Windows 10 Version 21H1 for x64-based Systems
    Windows 10 Version 1909 for ARM64-based Systems
    Windows 10 Version 1909 for x64-based Systems
    Windows 10 Version 1909 for 32-bit Systems
    Windows Server 2019 (Server Core installation)
    Windows Server 2019
    Windows 10 Version 1809 for ARM64-based Systems
    Windows 10 Version 1809 for x64-based Systems
    Windows 10 Version 1809 for 32-bit Systems

Pour la  CVE-2022-21901

    Windows Server 2022
    Windows 10 Version 21H1 for x64-based Systems
    Windows 10 Version 1909 for x64-based Systems
    Windows Server 2019 (Server Core installation)
    Windows Server 2019
    Windows 10 Version 1809 for x64-based Systems
    Windows Server 2016 (Server Core installation)
    Windows Server 2012 R2 (Server Core installation)
    Windows Server 2012 R2
    Windows Server 2016
    Windows 10 Version 1607 for x64-based Systems
    Windows 10 for x64-based Systems
    Windows 10 Version 21H2 for ARM64-based Systems
    Windows 11 for x64-based Systems
    Windows Server, version 20H2 (Server Core Installation)
    Windows 10 Version 20H2 for x64-based Systems
    Windows Server 2022 (Server Core installation)
    Windows 8.1 for x64-based systems

Pour la CVE-2022-21846CVE-2022-21969

    Microsoft Exchange Server 2019 Cumulative Update 10
    Microsoft Exchange Server 2016 Cumulative Update 21
    Microsoft Exchange Server 2013 Cumulative Update 23
    Microsoft Exchange Server 2019 Cumulative Update 11
    Microsoft Exchange Server 2016 Cumulative Update 22

Solutions ou recommandations

  • Appliquer les correctifs de sécurité proposés par Microsoft dans le Patch Tuesday du mois de janvier 2022.
  • Pour Windows 7 SP1, la mise à jour cumulative est disponible ici :KB5009610
  • Pour Windows 8.1, la mise à jour cumulative est disponible ici :KB5009624
  • Pour Windows 10 v1909, la mise à jour cumulative est disponible ici :KB5009545
  • Pour Windows 10 v2004, 20H2, 21H1, et 21H2,  la mise à jour cumulative est disponible ici :KB5009543
  • Pour Windows 11, la mise à jour cumulative est disponible ici :KB5009566 

Liens