Le Patch Tuesday de ce mois-ci est là et il contient des correctifs pour pas moins de 99 vulnérabilités de sécurité dans Windows et d'autres logiciels Microsoft.

Douze défaillances ont reçu la plus haute cote de gravité « critique », alors que cinq failles de sécurité sont répertoriées comme publiquement connues au moment de leur publication.

En fait, une vulnérabilité coche les deux cases - un zero-day activement exploité dans Internet Explorer (IE) Microsoft a révélé cette faille, répertoriée comme CVE-2020-0674, il y a trois semaines, mais n'a pas déployé de correctif officiel à l'époque. L'exploitation réussie de cette vulnérabilité d'exécution de code à distance (RCE) permet aux attaquants à distance d'exécuter le code de leur choix sur le système vulnérable.

Selon le résumé rédigé par l'Institut technologique du SANS, 16 autres failles RCE sont en train d'être comblées dans le cadre de l'ensemble des correctifs de sécurité de ce mois-ci. Il s'agit notamment de deux vulnérabilités graves dans le client Windows Remote Desktop, CVE-2020-0681 et CVE-2020-0734, dont l'exploitation est considérée comme probable par Microsoft.

Des mises à jour ont été publiées pour différentes versions de Windows, ainsi que pour Office, Edge, Exchange Server, SQL Server et quelques autres produits. Le nombre de corrections ce mois-ci est exceptionnellement élevé. Par exemple, le mois dernier, ce ne sont que 49 vulnérabilités qui ont été corrigées avec le déploiement du Patch Tuesday.

La note de vulnérabilité la plus élevée (CVSS) dans cette nouvelle série de mises à jour, 8,8 sur 10, a été attribuée à une vulnérabilité de corruption de la mémoire dans Windows Media Foundation. Un attaquant qui abuserait de cette vulnérabilité, suivie comme CVE-2020-0738, pourrait exécuter du code arbitraire sur le système impacté. Une série de vulnérabilités d'élévation de privilèges et de déni de service sont également en cours de correction.

Toutes les mises à jour sont disponibles via le catalogue de mises à jour Microsoft pour toutes les versions de Windows prises en charge. C'est la première fois que les utilisateurs de Windows 7 qui ne paient pas pour une assistance étendue n'ont pas de chance après que le système d'exploitation eût atteint la fin de vie le mois dernier.