Windows 11:  Microsoft vient de corriger 77 failles de sécurité, dont 3 zero day

Microsoft vient de publier sa dernière mise à jour de sécurité pour Windows 11. En plus des quelques 77 failles de sécurités qui ont été corrigées, le patch Tuesday de février a également permis de colmater trois failles zero day activement exploitées.

Si vous utilisez Windows 11 sur votre PC, c’est le moment d’aller mettre à votre système d’exploitation sans plus attendre. Car le Patch Tuesday publié hier par Microsoft vient colmater un nombre assez important de vulnérabilités plus ou moins graves. Au total, cette mise à jour de sécurité mensuelle de Windows corrige un total de 77 failles de sécurité, dont trois failles zero day qui ont été activement exploitées par les pirates.

Trois failles zero day déjà utilisées dans des attaques

Identifiée sous le nom de CVE-2023-21823, la première faille zero day corrigée dans ce Patch Tuesday permettait d’exécuter du code arbitraire à distance dans les composants graphiques de Windows. D’après Microsoft, cette brèche a permis aux hackers d’obtenir les privilèges administrateurs sur les machines ciblées. Microsoft indique sur la page dédiée à cette faille qu’elle sera corrigée par le biais d’une mise à jour poussée directement dans le Microsoft Store.

La seconde faille zero day patchée par Microsoft, estampillée CVE-2023-21715 concerne Microsoft Publisher, l’utilitaire de PAO de la firme de Redmond. Également activement exploitée, cette faille a permis aux hackers de contourner la fonctionnalité de sécurité sur les machines attaquées. Elle permet à un document spécifiquement créé pour l’occasion de passer outre le système de sécurité prévu pour les Macros dans Office. Grâce à elle, les hackers ont pu exécuter des macros d’un document Publisher malveillant sans que l’utilisateur n’en soit averti.

« L’attaque elle-même est réalisée en local par un utilisateur disposant d’une authentification sur le système ciblé. Un attaquant authentifié pourrait exploiter cette vulnérabilité en persuadant une victime, par le biais d’une technique de piratage psychologique, de télécharger et d’ouvrir un fichier spécialement conçu à partir d’un site web qui entraîne une attaque locale sur l’ordinateur de la victime. » indique Microsoft dans son centre de réponse de sécurité en ligne.

Découverte par les équipes de Microsoft, la troisième et dernière faille zéro day, répertoriée sous le nom CVE-2023-23376, permettait aux hackers qui l’ont exploitée d’obtenir les privilèges Système sur la machine ciblée.