Ce qu’il faut retenir du Patch Tuesday du 14 novembre selon Ivanti : “assez fade“. Il y a 47 vulnérabilités uniques résolues dans 11 mises à jour.
Deux d’entre elles ont été rendues publiques, ce qui signifie que suffisamment d’informations ont été publiées pour permettre à un acteur menaçant de l’exploiter ou, a minima, de savoir par où commencer. Voici quelques indicateurs de risque à utiliser pour établir des priorités afin de concentrer notre attention.
Pour commencer, les CVE-2017-11827 et CVE-2017-11848 affectent les navigateurs Microsoft. CVE-2017-11827 affecte à la fois IE et Edge. Cette vulnérabilité pourrait être utilisée dans un courriel de phishing ou un site Web exploitant pour convaincre un utilisateur d’ouvrir une pièce jointe ou un contenu malveillant. Par la suite, l’attaquant obtiendrait des droits égaux à l’utilisateur. Si l’utilisateur a tous les droits administrateur, l’attaquant prendrait le contrôle du système affecté. La deuxième vulnérabilité (CVE-2017-11848) est une vulnérabilité de divulgation d’informations dans Internet Explorer qui pourrait permettre à un attaquant de suivre la navigation de l’utilisateur après être passé par une page malicieusement façonnée.
Il y a de nombreuses vulnérabilités critiques qui affectent le système d’exploitation Windows ce mois-ci. Il y a 4 vulnérabilités de divulgation d’informations du noyau (Kernel Information Disclosure) et une vulnérabilité du noyau sur l’élévation du privilège (Kernel Elevation of Privilege) ainsi que quelques vulnérabilités critiques supplémentaires qui affectent les plates-formes de serveur. Bien qu’elles ne soient pas exploitables à distance, ces vulnérabilités utilisées ensemble offrent à une menace la combinaison requise pour compromettre un serveur.
Dans une situation de menace persistante, un attaquant exploite une vulnérabilité ciblée sur l’utilisateur pour prendre pied puis se déplacer latéralement vers d’autres systèmes comme un serveur. Une fois sur place, ils utilisent des vulnérabilités comme celles-ci pour prendre le contrôle du système. Donc, bien que ce ne soit pas de nature à faire les gros titres, il y a une recette pour créer un chaos dans les vulnérabilités résolues ce mois-ci. Il ne faut pas attendre avant de les mettre à jour.
Des activités Zombies d’Halloween
On a aussi une activité venant des Zombies d’Halloween. Microsoft et Adobe ont tous deux des produits dont le support a été terminé qui reprennent vie ! Windows 10 1511 obtient une relance pour les éditions Enterprise et Education pour les six prochains mois (le 10 avril 2018 étant la nouvelle date de fin de ces éditions). Les utilisateurs Home et Pro ne sont pas inclus ; il faudra néanmoins passer à une branche ultérieure dès que possible. Adobe avait annoncé la fin du support pour Acrobat et Reader XI le 15 octobre dernier, mais il a malgré cela sorti une mise à jour ce mois-ci. Adobe a 9 mises à jour de produits ce mois-ci et de nombreuses vulnérabilités critiques de sécurité sont résolues.
Il faut noter que bon nombre de ces mises à jour peuvent être classées comme Priorité 2, ce qui signifie qu’elles présentent des vulnérabilités critiques, mais qu’aucune d’entre elles n’est activement exploitée ou divulguée pour le moment. Il faut résoudre rapidement tout problème Adobe Priority 2, en particulier pour Flash Player.
Les principaux navigateurs ont besoin d’être mis à jour ce mois-ci. IE, Edge, Mozilla Firefox et Google Chrome ont tous publié des mises à jour avec de nombreuses vulnérabilités critiques, et il faut en faire des priorités. Adobe a publié 9 Bulletins de sécurité ce mois-ci, dont les plus remarquables sont Flash Player, Acrobat et Reader, ainsi que les mises à jour Shockwave qui présentent toutes des vulnérabilités critiques en matière de sécurité.
La vulnérabilité KRACK
Enfin, nous entrons en période de fêtes et il y aura beaucoup d’opportunistes pour profiter de la vulnérabilité KRACK dans le protocole de sécurité Wi-Fi WPA. Presque toutes les connexions Wi-Fi utilisant le cryptage WPA ou WPA2 peuvent être exploitée. Cela signifie qu’un attaquant pourrait espionner les connexions et avoir accès à des informations sensibles, y compris le mot de passe, nom d’utilisateur, numéro de carte de crédit ou toute autre IIP transmise via un accès Wi-Fi non crypté. Cette vulnérabilité a déjà été résolue dans la mise à jour Microsoft du mois dernier, il est donc essentiel d’avoir installé les mises à jour d’Octobre OS.
De plus, les téléphones, routeurs, hotspots, et même les périphériques IoT connectés au Wi-Fi sont probablement exposés à cette vulnérabilité, mais plus important encore, toutes les connexions Wi-Fi publiques doivent être considérées comme vulnérables. Les achats en ligne depuis un smartphone peuvent être effectués en passant par le réseau cellulaire. En cas de connexion à un Wi-Fi non sécurisé, il ne faut passer que par des sites cryptés (URL commençant par HTTPS://) ou établir une connexion VPN pour sécuriser les transactions et les données.
