Qu'est-ce que Patch Tuesday ?
Le deuxième mardi de chaque mois est considéré comme le "Patch Tuesday", et c'est ce jour-là que Microsoft publie les mises à jour de sécurité et non liées à la sécurité pour son système d'exploitation et d'autres applications connexes.
Pourquoi Patch Tuesday est-il important ?
Microsoft a officialisé le Patch Tuesday en octobre 2003 et a maintenu cette pratique depuis cette date. Ce processus donne aux administrateurs informatiques suffisamment de temps pour planifier et avoir toutes leurs ressources prêtes avant de se lancer dans le processus de mise à jour pour le mois en question.
Maintenant que nous avons évoqué son importance, voyons les mises à jour du Patch Tuesday de ce mois.
Répartition des mises à jour du Patch Tuesday de juillet
Des mises à jour de sécurité ont été publiées pour les gammes de produits suivantes :
- Microsoft Windows
- Microsoft Edge (EdgeHTML-based)
- Microsoft Edge (Chromium-based) en IE Mode
- Microsoft ChakraCore
- Internet Explorer
- Microsoft Office et Microsoft Office Services et Web Apps
- Windows Defender
- Skype for Business
- Visual Studio
- Microsoft OneDrive
- Open Source Software
- .NET Framework
- Azure DevOps
Vulnérabilités majeures et révélations publiques
Le correctif le plus remarquable du Patch Tuesday de juillet concerne une vulnérabilité du serveur DNS Windows CVE-2020-1350. Avec un niveau de gravité de 10, cette vulnérabilité d'exécution de code à distance peut être utilisée comme une arme pour créer un logiciel malveillant wormable si elle n'est pas corrigée. La mise à jour corrige la vulnérabilité en modifiant la manière dont les serveurs DNS de Windows traitent les requêtes.
Ce Patch Tuesday inclut également des correctifs pour deux vulnérabilités importantes précédemment divulguées. Un avis de sécurité ADV200008 pour l'activation du Request Smuggling Filter sur les serveurs IIS a été publié. La seconde vulnérabilité CVE-2020-1463, rendue publique, est une vulnérabilité d'élévation de privilège dans la façon dont la bibliothèque SharedStream gère les objets en mémoire.
Mises à jour critiques et remarquables
Ce Patch Tuesday comprend 18 mises à jour critiques et 105 mises à jour importantes. Les mises à jour critiques comprennent :
Il est recommandé de donner la priorité aux correctifs mentionnés ci-dessus, puis aux autres correctifs importants.
Mises à jour non liées à la sécurité
Microsoft a publié des mises à jour cumulatives pour Windows 10 qui comprennent les mises à jour non liées à la sécurité KB4565503 et KB4565483. Microsoft a également déclaré qu'elle reprendrait les versions non liées à la sécurité pour Windows 10 et Windows Server, version 1809 et ultérieure, sans modifier les mises à jour de sécurité mensuelles cumulées.
Autres éléments remarquables
L'équipe de Chrome a annoncé la distribution de Chrome 84 comme plateforme stable pour Windows, Mac et Linux. Cette mise à jour inclurait 38 correctifs de sécurité qui seront déployés dans les prochains jours ou semaines.
Vous souhaitez en savoir plus ? Inscrivez-vous au webinaire gratuit de ManageEngine (en anglais), et découvrez en détail les mises à jour du Patch Tuesday de ce mois-ci en compagnie de nos experts.
Les bonnes pratiques pour la gestion des correctifs dans le scénario actuel de travail à domicile
Avec COVID-19 qui renvoie la plupart des employés chez eux, la mise en place de correctifs et la sécurisation des terminaux posent de nouveaux problèmes aux administrateurs informatiques. Voici les étapes que vous devez suivre pour vous assurer que ce système ne vous empêche pas d'être au top de vos capacités en termes de correctifs :
- Les mises à jour automatiques, bien qu'extrêmement pratiques, peuvent consommer la bande passante des utilisateurs finaux et les exposer au risque d'avoir des correctifs défectueux dans un scénario de travail à domicile. Désactivez ces mises à jour avec le correctif dédié de Patch Manager Plus et de Desktop Central, 105427, et ne donnez la priorité qu'aux correctifs essentiels.
- Les mises à jour peuvent s'avérer délicates. Il est conseillé de créer un point de restauration, c'est-à-dire une sauvegarde ou une image qui capture l'état des machines, avant de déployer de grosses mises à jour comme celles du Patch Tuesday.
- La communication est la clé du succès du travail à distance. Établissez un calendrier de mise à jour et tenez les utilisateurs finaux informés de son déroulement. Fixez des horaires précis pour le déploiement des correctifs et le redémarrage des systèmes. Faites savoir aux utilisateurs finaux ce qui doit être fait de leur côté, par exemple qu'ils doivent se connecter au VPN pendant trois heures de 18 à 21 heures.
- Ne laissez pas les correctifs affecter la productivité. Testez les correctifs sur un groupe de systèmes pilotes avant de les déployer dans l'environnement de production afin d'éviter tout désagrément.
- La flexibilité est cruciale lorsqu'il s'agit de déployer des stratégies dans des environnements distants. Permettez aux utilisateurs de différer le déploiement et les redémarrages programmés. Cela leur donnera la liberté d'installer les mises à jour à leur convenance, sans perturber leur travail. Nos solutions de gestion des correctifs sont dotées d'options de déploiement et de redémarrage définies par l'utilisateur.
- Les correctifs sont classés par ordre de priorité en fonction de leur gravité. Installez les mises à jour de sécurité en commençant par les mises à jour critiques. Programmer les mises à jour non liées à la sécurité, ainsi que les mises à jour de sécurité qui ne sont pas classées comme critiques, à déployer après le Patch Tuesday, par exemple au cours de la troisième ou quatrième semaine du mois. Vous pouvez également choisir de refuser certaines mises à jour si vous estimez qu'elles ne sont pas nécessaires dans votre environnement. Le fait de ne pas déployer les feature packs et les mises à jour cumulées peut aider à réduire la consommation de bande passante, car ces mises à jour sont volumineuses.
- Exécutez des rapports de correctifs pour obtenir une vue détaillée de l'état de santé de vos terminaux.
Avec Desktop Central ou Patch Manager Plus, vous pouvez automatiser entièrement le processus de gestion des correctifs, depuis le test des correctifs jusqu'à leur déploiement. Vous pouvez également adapter les tâches de déploiement des correctifs en fonction de votre situation actuelle. Pour une expérience pratique avec l'une ou l'autre de ces solutions, commencez un essai gratuit de 30 jours et maintenez des milliers d'applications corrigées et sécurisées.
Jetez également un coup d'œil à ce guide soigneusement conçu, qui contient des informations sur les précédents Patch Tuesdays, et prenez des décisions avisées en matière de déploiement de correctifs.