Nouveau mois, nouvelle mise à jour pour le système d’exploitation de Microsoft, Windows 10. Le patch Tuesday est d’ores et déjà disponible et ce, depuis le 14 juillet. Sur 123 failles de sécurité CVE corrigées, 18 étaient considérées comme critiques. Une vulnérabilité de Windows Server DNS permettait notamment à toute entité malveillante de prendre le contrôle à distance d’une machine.

Le dernier patch en date du système d’exploitation Windows 10 pour le mois de juillet 2020 est d’ores et déjà disponible. Au total, 123 failles de sécurité ont été corrigées, dont 105 classifiées comme « Importantes » et 18 comme « Critiques ». Une nouvelle salve considérable de correctifs pour le système d’exploitation de la firme de Redmond donc, puisque ce patch correspond au cinquième mois consécutif à plus de 100 correctifs. Pour rappel, 129 failles avaient été corrigées en juin, un record. Restons tout de même positifs : même si ces failles concernaient de nombreux services Microsoft (Edge, Windows Defender, Office Services, .NET Framework, OneDrive, etc.), aucune d’entre elles n’avaient à ce jour été exploitées. L’installation de cette mise à jour est fortement recommandée, d’autant plus que l’un des bugs critiques corrigés faisait planter et redémarrer le PC.

L’une des failles corrigées affectait le composant DNS de Windows Server

En regardant le patch de plus près, on s’aperçoit que l’une de ces failles pose cependant problème. La CVE-2020-1350, une vulnérabilité découverte par les chercheurs de Check Point et nommée SigRed, permet à toute entité malveillante d'exécuter du code à distance par le biais de Windows DNS Server. Toutes les versions de Windows sont concernées. Techniquement, Microsoft explique que tout attaquant non-authentifié peut envoyer une requête malveillante sur un serveur DNS Windows vulnérable. En l’exploitant, cela lui permettrait d’exécuter du code arbitraire au sein du compte système local.

Ce code peut prendre la forme d’un ver, et donc, se propager par le biais de logiciels malveillants, sans forcément nécessiter d’interaction d’un système à un autre. « Les organisations sont vivement encouragées à patcher leurs systèmes dès que possible pour corriger cette vulnérabilité, car nous nous attendons à ce que les cybercriminels ne tardent pas à rechercher et à cibler les systèmes vulnérables », peut-on lire sur les notes de patch.

D’autres failles de sécurité majeures ont également été corrigées grâce à cette mise à jour cuvée juillet 2020. On citera par exemple la CVE-2020-1025, une faille qui permettait un risque d’élévation au sein d’Office, ou une autre, la CVE-2020-1349, qui affectait Outlook.