Microsoft a résolu un total de 93 CVE uniques ce mois-ci. Mais, de manière surprenante, il n’y a AUCUN zero day ni AUCUNE vulnérabilité publiquement dévoilée ! Cela fait bien longtemps que cela n’était pas arrivé.D’un coup d’œil à la liste, on remarque de nombreuses vulnérabilités RDP ce mois-ci, assurez-vous d’appliquer rapidement ces mises à jour. Microsoft met en avant deux CVE en particulier, CVE-2019-1181 et -1182, dans son Response Center ce mois-ci, qui pourraient être exploitées avec une attaque par ver. Toutes les mises à jour du système d’exploitation sont classées priorité 1 en raison de leur vulnérabilité critique et de la possibilité
d’exécution de code à distance.
Une autre vulnérabilité – CVE-2019-9506 –, intitulée Encryption Key Negotiation of Bluetooth Vulnerability, est digne d’intérêt. Le CERT/CC a publié CVE-2019-9506 et VU#918987 pour cette vulnérabilité d’altération, qui présente un score CVSS de 9,3. Elle nécessite du matériel spécialisé pour être exploitée, mais peut permettre l’accès sans fil et la perturbation à portée de Bluetooth de l’appareil attaqué. Microsoft a fourni une mise à jour pour résoudre ce problème, mais la nouvelle fonctionnalité est désactivée par défaut. Vous devez l’autoriser en activant un paramètre dans le registre. Consultez la base de connaissances pour plus de détails.
8 mises à jour Adobe
Ce Patch Tuesday est peut-être tranquille pour Microsoft, mais Adobe a publié 8 mises à jour ce mois-ci. Si vous êtes un utilisateur de Creative Cloud ou de Experience Manager, n’oubliez pas de consulter les bulletins car plusieurs d’entre elles sont classées Critique. Adobe a également publié des mises à jour pour Acrobat et le plus courant Acrobat Reader, avec des détails sous APSB19-41. Cette mise à jour pour Windows et MacOS corrige 76 vulnérabilités qui sont toutes considérées Important. Il y a des mises à jour pour les versions Continuous, Classic 2015 et Classic 2017 des produits. Il y avait également une mise à jour qui ne concerne pas la sécurité pour Flash, mais elle n’était pas incluse dans l’annonce de Microsoft.
Revoir l’inventaire des actifs
Avec peu de mises à jour à traiter ce mois-ci, c’est peut-être le bon moment pour revoir
l’inventaire des actifs des systèmes que vous corrigez. Nous pouvons mettre en place des
groupes de systèmes à patcher et les passer chaque mois en revue pour appliquer les derniers correctifs, sans pour autant en avoir une vue d’ensemble. Les services IT sont souvent dispersés et les systèmes dont ils ont la charge sont en constante évolution. Sans une communication continue au sein de l’entreprise ou des paramètres dynamiques dans vos produits de patching, il se peut que vous passiez à côté de machines qui pourtant ont besoin de mises à jour. La bonne nouvelle, c’est que les outils de mise à jour que nous utilisons ont de nombreuses fonctions de découverte et peuvent aider à identifier les derniers systèmes sur le réseau. De même, il existe toute une série d’outils réseau et système que vous pouvez utiliser. N’oubliez pas de vous coordonner avec votre équipe des opérations de sécurité. Les analyseurs de vulnérabilités qu’;ils utilisent sont également dotés d’une fonction de découverte intégrée.
Armé d’une liste consolidée des systèmes de votre réseau provenant de toutes ces sources,
vous pouvez vous assurer que vos groupes de patching sont à jour et enquêter sur tout
dispositif suspect que vous avez découvert. Enfin, avec une mise à jour de l’inventaire des actifs et l’application de vos correctifs, vous pouvez maintenant vous détendre.
