“Le Patch Tuesday de ce mois-ci comprend des correctifs pour 73 CVE et
deux alertes, dont six jugées critiques, 67 jugées importantes et deux
jugées modérées. Pour le mois d’août, Microsoft a corrigé une
vulnérabilité exploitée dans la nature et a publié une mise à jour
de défense en profondeur pour une vulnérabilité divulguée dans le
Patch Tuesday de juillet 2023.”

“CVE-2023-38180, une vulnérabilité de déni de service dans .NET et
Visual Studio, a été exploitée dans la nature en tant que zero day.
Microsoft n’a pas partagé de détails spécifiques sur son
exploitation, cependant, au vu de son impact, nous pensons qu’elle a
probablement été utilisée pour provoquer une attaque de déni de
service contre un serveur vulnérable.”

“Le mois dernier, Microsoft a annoncé une série de vulnérabilités
de type zero day dans une série de produits Microsoft qui ont été
découverts et exploités dans la nature. Une seule CVE leur a été
attribuée : la CVE-2023-36884. Ce mois-ci, Microsoft a publié des
correctifs pour cette vulnérabilité, l’appelant Vulnérabilité de
contournement de la fonction de sécurité de Windows Search et a
également publié ADV230003, une mise à jour de défense en profondeur
conçue pour arrêter la chaîne d’attaque associée qui conduit à
l’exploitation de cette CVE. Étant donné que cette vulnérabilité a
déjà été exploitée avec succès dans la nature en tant que zero
day, les organisations devraient en priorité corriger cette
vulnérabilité et appliquer la mise à jour dès que possible.”

“Microsoft a corrigé six vulnérabilités dans Microsoft Exchange
Server en août, y compris CVE-2023-21709, une faille d’élévation de
privilèges qui a reçu un score CVSSv3 de 9,8, bien que Microsoft la
considère comme une faille importante et non critique. Un attaquant non
authentifié pourrait exploiter cette vulnérabilité en menant une
attaque par force brute contre des comptes d’utilisateurs valides.
Malgré cette note élevée, il semble que les attaques par force brute
ne seront pas couronnées de succès contre les comptes disposant d’un
mot de passe fort. Toutefois, si des mots de passe faibles sont
utilisés, les tentatives d’attaque par force brute seront plus
fructueuses. Les cinq autres vulnérabilités vont d’une faille
d’usurpation d’identité à plusieurs bugs d’exécution de code à
distance, bien que la plus grave d’entre elles nécessite également des
identifiants permettant d’accéder à un compte valide.”