Microsoft a également corrigé quatre vulnérabilités RCE dans le Client de bureau à distance, que nous examinerons en détail plus loin dans le blog. Vous devez prioriser les correctifs pour toutes ces vulnérabilités critiques, mais il y a encore beaucoup de travail à faire pour ce Patch Tuesday.
Au total, les mises à jour de Microsoft Patch Tuesday de septembre 2019 corrigent 79 vulnérabilités dans différentes versions de l'OS Windows et des produits associés. De ces mises à jour, 17 sont jugées critiques.
Patch Tuesday pour les produits Microsoft
Le Patch Tuesday de ce mois-ci couvre :
- Microsoft Windows
- Microsoft Office, including SharePoint
- Microsoft Exchange Server
- Microsoft Edge
- Internet Explorer
- Adobe Flash Player
- Team Foundation Server
- .NET Framework
Voici un bref aperçu des correctifs les plus importantes de Microsoft Patch Tuesday de septembre 2019.
Encore une autre mise à jour pour le bureau à distance de Windows
C'est devenu dernièrement la routine pour Microsoft de publier des correctifs pour le bureau à distance. Parmi les quatre vulnérabilités du bureau à distance incluses dans le Patch Tuesday de ce mois-ci, toutes sont des vulnérabilités RCE (CVE-2019-0787, CVE-2019-0788, CVE-2019-1290, et CVE-2019-1291). Pour exploiter ces vulnérabilités, un pirate aurait besoin qu'un utilisateur se connecte à un serveur RDP (Remote Desktop Protocol) corrompu ou infecté.
Un pirate qui exploite avec succès cette vulnérabilité pourrait exécuter du code arbitraire sur l'ordinateur du client qui se connecte. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes ayant tous les droits.
Vulnérabilités critiques corrigées
Sur un total de 79 vulnérabilités, 17 d'entre elles, y compris les vulnérabilités RDP mentionnées précédemment, sont qualifiées de critiques. Outre les quatre vulnérabilités RDP, Microsoft a corrigé huit vulnérabilités critiques dans les moteurs de script et les navigateurs, et trois dans SharePoint. Les vulnérabilités de ce niveau de sévérité sont facilement exploitables et peuvent entraîner des RCE, compromission des serveurs au niveau de la racine ou la divulgation d'informations, le tout avec peu ou pas d'interaction de la part de l'utilisateur. Comme toujours, les vulnérabilités critiques doivent recevoir la plus grande importance et être corrigées en premier.
Patchs de tierces parties : Mises à jour Adobe
Adobe, un autre géant de la technologie, n'a publié que deux correctifs critiques pour Flash Player et a corrigé une vulnérabilité de chargement non sécurisée de la bibliothèque Dynamic-link (DLL) dans le Gestionnaire d'applications (noté Important).
Comment traiter les mises à jour de Microsoft Patch Tuesday pour septembre 2019
Voici quelques bonnes pratiques pour aborder Microsoft Patch Tuesday de septembre 2019 et s'assurer que votre entreprise est à l'abri des menaces et des acteurs qui tirent parti des vulnérabilités des logiciels.
- Donner la priorité au correctif pour les deux vulnérabilités d'escalade des privilèges, CVE-2019-1214 et CVE-2019-1215, ainsi que pour les quatre failles RCE critiques dans le Client de bureau à distance : CVE-2019-0787, CVE-2019-0788, CVE-2019-1290 et CVE-2019-1291.
- Automatisez toutes les autres mises à jour critiques et importantes immédiatement après.
- Planifiez les mises à jour du Patch Tuesday pour les distribuer en dehors des heures de travail afin d'éviter les temps d'arrêt.
- Créez un groupe de test pour vérifier la stabilité des mises à jour du Patch Tuesday avant de les déployer sur les machines de production.
- Déclinez les correctifs moins critiques pour prioriser les problèmes importants.
- Reportez ou planifiez les redémarrages pour les machines et serveurs critiques.
- Exécutez des rapports de correctifs pour vous assurer que les terminaux réseau sont à jour avec les derniers correctifs.
Si vous êtes un administrateur système, vous savez probablement ce que cela signifie pour vous : une semaine pleine de tests et de déploiements de mises à jour sur des milliers de machines et de dépannages de correctifs, puis une semaine ou deux à attendre que les correctifs réparent les problèmes des correctifs qui ont déjà été publiés.
Ne vous inquiétez pas, on s'occupe de vous.
ManageEngine offre deux solutions : Desktop Central et Patch Manager Plus. Les deux vous aident à automatiser toutes les meilleures pratiques mentionnées ci-dessus à partir d'une console centrale. Essayez les deux solutions gratuitement pendant 30 jours pour garder à jour plus de 750 applications, dont plus de 300 applications tierces.
Bon patch !
Joyal Bennison, Content Writer chez ManageEngine