La sécurité des navigateurs s’est beaucoup améliorée ces dernières années, mais les dizaines de « 0days » découverts dans Chrome ces derniers temps font réagir le secteur. Chrome a annoncé qu’il mettrait en œuvre une spécification du W3C appelée accès au réseau privé (PNA), qui protégera les attaquants contre l’accès aux ressources internes telles que les routeurs ou les serveurs par CSRF dans le navigateur.

Edge, quant à lui, a fait un pas de plus. Il mettra en œuvre un mode de navigation spécialement conçu pour améliorer la sécurité contre les vulnérabilités inconnues (0days). Pour ce faire, elle a mis en œuvre une série de modifications du registre qui, une fois activées, permettront d’appliquer cette sécurité et d’autoriser des exceptions. Il s’agit de EnhanceSecurityMode, EnhanceSecurityModeBypassListDomains et EnhanceSecurityModeEnforceListDomains.
Cela permettra d’activer trois mesures génériques d’atténuation des exploits dans le navigateur :

• Hardware-enforced Stack Protection : elle permet une protection au niveau du processeur (en prenant en charge la technologie Shadow stack sur AMD et la technologie CET sur Intel) contre les attaques typiques par débordement de pile.
  
• Arbitrary Code Guard (ACG), Alors que grâce à la technologie CIG de Windows, un processus ne peut pas charger de binaires non signés, ACG empêche cela avec du code mappé en mémoire.
  
• Content Flow Guard (CFG). Une technologie qui a échoué (Microsoft a dû arrêter de payer des primes pour le contournement) pour tenter de prévenir à nouveau les exploits fonctionnels.

Plus d’information:
https://docs.microsoft.com/en-us/deployedge/microsoft-edge-relnote-beta-channel#version-980110823-january-14

Microsoft a publié, comme chaque deuxième mardi du mois, sa série de correctifs de sécurité. Au cours de ce mois, Microsoft a corrigé un total de 97 vulnérabilités, dont 9 vulnérabilités à risque critique, ainsi que 6 vulnérabilités 0day, qui ont été publiquement divulguées sans l’existence d’un correctif de sécurité.

Les vulnérabilités, établies comme critiques par Microsoft, et corrigées dans le Patch Tuesday sont les suivantes :

• CVE-2022-21907 : Vulnérabilité d’exécution de code à distance dans la pile de protocoles HTTP, avec un score CVSSv3 de 9.8.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907
  
• CVE-2022-21846 : Vulnérabilité d’exécution de code à distance dans les serveurs Microsoft Exchange, avec un score CVSSv3 de 9.0.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21846
  
• CVE-2022-21840 : Vulnérabilité d’exécution de code à distance dans Microsoft Office, avec un score CVSSv3 de 8.8.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21840
  
• CVE-2022-21857 : Vulnérabilité d’escalade de privilèges dans les services de domaine Active Directory, avec un score CVSSv3 de 8.8.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21857
  
• CVE-2022-21898 : Vulnérabilité d’exécution de code à distance dans le noyau DirectX, avec un score CVSSv3 de 7.8.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21898
  
• CVE-2022-21912 : Vulnérabilité d’exécution de code à distance dans le noyau DirectX, avec un score CVSSv3 de 7.8.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21912
  
• CVE-2022-21833 : vulnérabilité d’escalade de privilèges dans les lecteurs IDE virtualisés, avec un score CVSSv3 de 7.8.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21833
  
• CVE-2022-21917 : vulnérabilité d’exécution de code à distance dans les extensions vidéo HEVC, avec un score CVSSv3 de 7.8.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21917
  
• CVE-2021-22947 : Vulnérabilité d’exécution de code à distance dans le logiciel open source Curl, avec un score CVSSv3 de 5.9.
  Plus d’informations sur la vulnérabilité : https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-22947

Les vulnérabilités, établies comme 0day par Microsoft, ont été identifiées comme CVE-2021-22947, CVE-2021-36976, CVE-2022-21919, CVE-2022-21836, CVE-2022-21839 et CVE-2022-21874.

Actuellement, aucune activité liée aux vulnérabilités divulguées n’a été détectée. Cependant, étant donné qu’il existe des POC publiques pour certaines de ces vulnérabilités, il est recommandé d’appliquer de toute urgence les correctifs de sécurité de Microsoft.

Pour obtenir une liste complète des vulnérabilités avec des correctifs de sécurité, veuillez consulter le guide des mises à jour de sécurité de Microsoft.

Plus d’information:
https://msrc.microsoft.com/update-guide/vulnerability
https://www.tenable.com/blog/microsofts-january-2022-patch-tuesday-addresses-97-cves-cve-2022-21907