En novembre, Microsoft a corrigé une élévation de privilèges dans le programme d’installation. CVE-2021-41379. Mais ça a mal tourné. Le découvreur lui-même a publié un exploit capable de contourner le correctif et d’élever à nouveau les privilèges grâce à une faille dans le système d’installation des MSI. Et il fonctionne mieux que le précédent, même. … Lire la suite
5 vulnérabilités, ce n’est pas beaucoup pour un mois chez Microsoft. Cependant, six d’entre elles sont essentielles. Quatre d’entre elles étaient connus auparavant et deux sont exploitées par des attaquants. Ces dernières sont des problèmes dans Excel qui permettent de contourner les protections mais nécessitent une interaction de l’utilisateur. Et Exchange n’est pas épargné. CVE-2021-42321. … Lire la suite
L’empoisonnement des paquets open source utilisés dans la programmation fait fureur. Deux paquets NPM (node.js repository) comptant 22 millions de téléchargements ont été compromis en raison de la compromission des comptes de leurs développeurs. Coa, un parseur d’options de ligne de commande et rc, un chargeur d’amorçage ont été distribués avec une surprise : ils … Lire la suite
Après de nombreux échecs en matière de sécurité dans Exchange (principalement causés par ProxyLogon et plusieurs défaillances du service d’impression), Microsoft a décidé d’adopter une nouvelle stratégie de sécurité. Un service appelé Microsoft Exchange Emergency Mitigation (EM) sera déployé de manière imminente sur ces serveurs. Il sera chargé d’atténuer l’exploitation des failles de sécurité jusqu’à … Lire la suite
L’un des mythes les plus répandus (et les plus erronés) est que les logiciels libres ou à code source ouvert sont plus sûrs par définition, car des milliers d’yeux les examinent et corrigent les problèmes. Dans un monde idéal, oui, mais la réalité est que les bugs sont là, ouverts ou fermés, tout de même. … Lire la suite