Dans le cadre de ses mises à jour du Patch Tuesday de février 2024, Microsoft a déployé des correctifs pour remédier à 73 failles de sécurité à travers sa gamme de logiciels, dont deux failles zero-day activement exploitées.
Parmi les 73 vulnérabilités, 5 sont jugées critiques, 65 sont classées comme importantes, et trois sont considérées d’une gravité modérée. Ces corrections s’ajoutent aux 24 failles précédemment résolues dans le navigateur Edge basé sur Chromium depuis les mises à jour du Patch Tuesday du 24 janvier.
Les deux failles répertoriées comme faisant l’objet d’une attaque active au moment de la publication sont ci-dessous –
- CVE-2024-21351 (score CVSS : 7,6) – Vulnérabilité de contournement de la fonctionnalité de sécurité Windows SmartScreen
- CVE-2024-21412 (score CVSS : 8,1) – Vulnérabilité de contournement de la fonctionnalité de sécurité des fichiers de raccourci Internet
Concernant CVE-2024-21351, Microsoft a indiqué que cette vulnérabilité permet à un acteur malveillant d’injecter du code dans SmartScreen, ouvrant potentiellement la voie à l’exécution de code et exposant ainsi les données, entraînant un risque de perturbation du système, voire les deux. L’exploitation réussie de cette faille pourrait autoriser un attaquant à contourner les protections de SmartScreen et à exécuter du code arbitraire. Toutefois, pour que l’attaque réussisse, l’auteur de la menace doit persuader l’utilisateur d’ouvrir un fichier malveillant.
De même, CVE-2024-21412 autorise un attaquant non authentifié à contourner les contrôles de sécurité en envoyant un fichier spécialement conçu à un utilisateur ciblé. Cependant, l’attaquant n’a aucun moyen de contraindre un utilisateur à consulter le contenu sous son contrôle, » a souligné Redmond. « Au lieu de cela, l’attaquant devrait le persuader d’agir en cliquant sur le lien du fichier
En savoir plus sur : Thehackernews.com