Aujourd’hui est le Patch Tuesday de novembre 2021 de Microsoft, et avec lui, des correctifs pour six vulnérabilités zero-day et un total de 55 failles. Les vulnérabilités activement exploitées concernent Microsoft Exchange et Excel, le zero-day Exchange étant utilisé dans le cadre du concours de piratage Tianfu.
Microsoft a corrigé 55 vulnérabilités avec la mise à jour d’aujourd’hui, dont six classées comme critiques et 49 comme importantes. Le nombre de chaque type de vulnérabilité est indiqué ci-dessous :
- 20 Vulnérabilités d’élévation des privilèges
- 2 vulnérabilités de contournement des fonctions de sécurité
- 15 vulnérabilités d’exécution de code à distance
- 10 Vulnérabilités de divulgation d’informations
- 3 Vulnérabilités de déni de service
- 4 Vulnérabilités d’usurpation d’identité
Pour plus d’informations sur les mises à jour Windows non liées à la sécurité, vous pouvez lire les mises à jour cumulatives Windows 10 KB5007186 et KB5007189 d’aujourd’hui.
Six zero-days corrigés, dont deux activement exploités
Le Patch Tuesday de novembre inclut des correctifs pour six vulnérabilités zero-day, deux activement exploitées contre Microsoft Exchange et Microsoft Excel.
Microsoft classe une vulnérabilité comme un jour zéro si elle est divulguée publiquement ou activement exploitée sans qu’aucun correctif officiel ne soit disponible.
Les vulnérabilités activement exploitées corrigées ce mois-ci sont :
- CVE-2021-42292 – Vulnérabilité de contournement des fonctionnalités de sécurité de Microsoft Excel
- CVE-2021-42321 – Vulnérabilité d’exécution de code à distance de Microsoft Exchange Server
Le Microsoft Exchange CVE-2021-42321 La vulnérabilité est un bug d’exécution de code à distance authentifié utilisé dans le cadre du concours de piratage de la Tianfu Cup le mois dernier.
Cependant, le Microsoft Excel CVE-2021-42292 a été découvert par le Microsoft Threat Intelligence Center et a été activement utilisé dans des attaques malveillantes.
Les mises à jour de sécurité pour Microsoft Office pour Mac n’ont pas encore été publiées.
Microsoft a également corrigé quatre autres vulnérabilités divulguées publiquement qui ne sont pas connues pour être exploitées dans des attaques.
- CVE-2021-38631 – Vulnérabilité de divulgation d’informations du protocole Windows Remote Desktop (RDP)
- CVE-2021-41371 – Vulnérabilité de divulgation d’informations du protocole Windows Remote Desktop (RDP)
- CVE-2021-43208 – Vulnérabilité d’exécution de code à distance de la visionneuse 3D
- CVE-2021-43209 – Vulnérabilité d’exécution de code à distance de la visionneuse 3D
Mises à jour récentes d’autres sociétés
Les autres fournisseurs qui ont publié des mises à jour en novembre incluent :
Mises à jour de sécurité du Patch Tuesday de novembre 2021
Vous trouverez ci-dessous la liste complète des vulnérabilités résolues et des avis publiés dans les mises à jour du Patch Tuesday de novembre 2021. Pour accéder à la description complète de chaque vulnérabilité et des systèmes qu’elle affecte, vous pouvez consulter le rapport complet ici.
| Étiqueter | ID CVE | Titre CVE | Gravité |
|---|---|---|---|
| Visionneuse 3D | CVE-2021-43209 | Vulnérabilité d’exécution de code à distance de la visionneuse 3D | Important |
| Visionneuse 3D | CVE-2021-43208 | Vulnérabilité d’exécution de code à distance de la visionneuse 3D | Important |
| Azur | CVE-2021-41373 | Vulnérabilité de divulgation d’informations dans FSLogix | Important |
| RTOS Azure | CVE-2021-42303 | Vulnérabilité d’élévation des privilèges d’Azure RTOS | Important |
| RTOS Azure | CVE-2021-42302 | Vulnérabilité d’élévation des privilèges d’Azure RTOS | Important |
| RTOS Azure | CVE-2021-42301 | Vulnérabilité de divulgation d’informations Azure RTOS | Important |
| RTOS Azure | CVE-2021-42323 | Vulnérabilité de divulgation d’informations Azure RTOS | Important |
| RTOS Azure | CVE-2021-26444 | Vulnérabilité de divulgation d’informations Azure RTOS | Important |
| RTOS Azure | CVE-2021-42304 | Vulnérabilité d’élévation des privilèges d’Azure RTOS | Important |
| Sphère Azure | CVE-2021-41374 | Vulnérabilité de divulgation d’informations dans Azure Sphere | Important |
| Sphère Azure | CVE-2021-41376 | Vulnérabilité de divulgation d’informations dans Azure Sphere | Important |
| Sphère Azure | CVE-2021-42300 | Vulnérabilité de falsification d’Azure Sphere | Important |
| Sphère Azure | CVE-2021-41375 | Vulnérabilité de divulgation d’informations dans Azure Sphere | Important |
| Microsoft Dynamics | CVE-2021-42316 | Vulnérabilité d’exécution de code à distance dans Microsoft Dynamics 365 (on-premises) | Critique |
| Microsoft Edge (basé sur Chrome) en mode IE | CVE-2021-41351 | Spoofing de Microsoft Edge (basé sur Chrome) en mode IE | Important |
| Serveur Microsoft Exchange | CVE-2021-42305 | Vulnérabilité d’usurpation de Microsoft Exchange Server | Important |
| Serveur Microsoft Exchange | CVE-2021-41349 | Vulnérabilité d’usurpation de Microsoft Exchange Server | Important |
| Serveur Microsoft Exchange | CVE-2021-42321 | Vulnérabilité d’exécution de code à distance de Microsoft Exchange Server | Important |
| Accès Microsoft Office | CVE-2021-41368 | Vulnérabilité d’exécution de code à distance Microsoft Access | Important |
| Microsoft Office Excel | CVE-2021-40442 | Vulnérabilité d’exécution de code à distance dans Microsoft Excel | Important |
| Microsoft Office Excel | CVE-2021-42292 | Vulnérabilité de contournement des fonctionnalités de sécurité de Microsoft Excel | Important |
| Microsoft Office Word | CVE-2021-42296 | Vulnérabilité d’exécution de code à distance dans Microsoft Word | Important |
| Microsoft Windows | CVE-2021-41356 | Vulnérabilité de déni de service Windows | Important |
| Bibliothèque de codecs Microsoft Windows | CVE-2021-42276 | Vulnérabilité d’exécution de code à distance de Microsoft Windows Media Foundation | Important |
| BI de puissance | CVE-2021-41372 | Vulnérabilité d’usurpation de Power BI Report Server | Important |
| Rôle : Windows Hyper-V | CVE-2021-42284 | Vulnérabilité de déni de service Windows Hyper-V | Important |
| Rôle : Windows Hyper-V | CVE-2021-42274 | Vulnérabilité de déni de service d’attribution de périphérique discret (DDA) Windows Hyper-V | Important |
| Visual Studio | CVE-2021-3711 | OpenSSL : CVE-2021-3711 SM2 Débordement du tampon de déchiffrement | Critique |
| Visual Studio | CVE-2021-42319 | Vulnérabilité d’élévation des privilèges de Visual Studio | Important |
| Code Visual Studio | CVE-2021-42322 | Vulnérabilité d’élévation des privilèges du code Visual Studio | Important |
| Répertoire actif de Windows | CVE-2021-42278 | Vulnérabilité d’élévation des privilèges des services de domaine Active Directory | Important |
| Répertoire actif de Windows | CVE-2021-42291 | Vulnérabilité d’élévation des privilèges des services de domaine Active Directory | Important |
| Répertoire actif de Windows | CVE-2021-42287 | Vulnérabilité d’élévation des privilèges des services de domaine Active Directory | Important |
| Répertoire actif de Windows | CVE-2021-42282 | Vulnérabilité d’élévation des privilèges des services de domaine Active Directory | Important |
| COM Windows | CVE-2021-42275 | Vulnérabilité d’exécution de code à distance Microsoft COM pour Windows | Important |
| Shell de base de Windows | CVE-2021-42286 | Cadre d’extension d’hôte Windows Core Shell SI pour la vulnérabilité d’élévation des privilèges du shell composable | Important |
| Protocole Windows Cred SSProvider | CVE-2021-41366 | Vulnérabilité d’élévation des privilèges du Credential Security Support Provider Protocol (CredSSP) | Important |
| Windows Defender | CVE-2021-42298 | Vulnérabilité d’exécution de code à distance de Microsoft Defender | Critique |
| Pont de bureau Windows | CVE-2021-36957 | Vulnérabilité d’élévation des privilèges de Windows Desktop Bridge | Important |
| Centre de diagnostic Windows | CVE-2021-42277 | Vulnérabilité d’élévation des privilèges du collecteur standard de Diagnostics Hub | Important |
| Pilote Windows Fastfat | CVE-2021-41377 | Vulnérabilité d’élévation des privilèges du pilote du système de fichiers Windows Fast FAT | Important |
| Hub de commentaires Windows | CVE-2021-42280 | Vulnérabilité d’élévation des privilèges de Windows Feedback Hub | Important |
| Bonjour Windows | CVE-2021-42288 | Vulnérabilité de contournement de la fonctionnalité de sécurité de Windows Hello | Important |
| Programme d’installation de Windows | CVE-2021-41379 | Vulnérabilité d’élévation des privilèges de Windows Installer | Important |
| Noyau Windows | CVE-2021-42285 | Vulnérabilité d’élévation des privilèges du noyau Windows | Important |
| Windows NTFS | CVE-2021-42283 | Vulnérabilité d’élévation des privilèges NTFS | Important |
| Windows NTFS | CVE-2021-41370 | Vulnérabilité d’élévation des privilèges NTFS | Important |
| Windows NTFS | CVE-2021-41378 | Vulnérabilité d’exécution de code à distance Windows NTFS | Important |
| Windows NTFS | CVE-2021-41367 | Vulnérabilité d’élévation des privilèges NTFS | Important |
| Windows RDP | CVE-2021-38665 | Vulnérabilité de divulgation d’informations sur le client du protocole de bureau à distance | Important |
| Windows RDP | CVE-2021-38631 | Vulnérabilité de divulgation d’informations du protocole Windows Remote Desktop (RDP) | Important |
| Windows RDP | CVE-2021-38666 | Vulnérabilité d’exécution de code à distance du client Bureau à distance | Critique |
| Windows RDP | CVE-2021-41371 | Vulnérabilité de divulgation d’informations du protocole Windows Remote Desktop (RDP) | Important |
| Script Windows | CVE-2021-42279 | Vulnérabilité de corruption de mémoire du moteur de script Chakra | Critique |
| Bus de machine virtuelle Windows | CVE-2021-26443 | Vulnérabilité d’exécution de code à distance Microsoft Virtual Machine Bus (VMBus) | Critique |