Vulnérabilités dans des produits Microsoft (Patch Tuesday Mai 2020)

Microsoft a publié plusieurs correctifs de sécurité (Patch Tuesday) afin de corriger 123 vulnérabilités au total permettant l’exécution de code à distance, la fuite d’informations, l’élévation de privilèges, le déni de service, l’usurpation d’identité et le contournement de dispositifs de sécurité. 16 vulnérabilités sont considérées comme critiques, 95 comme importantes et les 6 restantes comme peu importantes.

Les produits suivants sont concernés :

• Microsoft Windows
• Microsoft Edge (EdgeHTML-based)
• Microsoft Edge (Chromium-based)
• ChakraCore
• Internet Explorer
• Microsoft Office, Microsoft Office Services et Web Apps
• Microsoft Sharepoint
• Windows Defender
• Visual Studio
• Microsoft Dynamics
• .NET Framework
• .NET Core
• Power BI

Les vulnérabilités suivantes sont considérées comme critiques : 

CVE-2020-1028, CVE-2020-1126, CVE-2020-1136 [Score CVSS v3 : 8.8] : Des vulnérabilités de type corruption de mémoire ont été découvertes dans WIndows Media Foundation. Un attaquant peut les exploiter de plusieurs manières, par exemple en amenant un utilisateur à ouvrir un document ou une page web spécialement conçue. 

CVE-2020-0901 [Score CVSS v3 : 8.8] : Une vulnérabilité de type “use-after-free” a été découverte dans Microsoft Excel. Un attaquant peut exploiter cette vulnérabilité en amenant un utilisateur à ouvrir un fichier spécialement conçu et pourrait ainsi exécuter du code arbitraire. 

CVE-2020-1117 [Score CVSS v3 : 8.8] : Une vulnérabilité de type exécution de code arbitraire a été découverte dans Color Management Module (ICM32.dll). Elle est due à la manière dont le module traite les objets en mémoire. Un attaquant peut exploiter cette vulnérabilité en amenant un utilisateur à visiter une page web spécialement conçue.

CVE-2020-1023, CVE-2020-1024, CVE-2020-1069, CVE-2020-1102 [Score CVSS v3 : En cours de calcul] : Des vulnérabilités de type exécution de code arbitraire à distance ont été découvertes dans Microsoft Sharepoint. Pour la CVE-2020-1069, un attaquant peut exploiter cette vulnérabilité en téléversant un paquet spécialement conçu sur un serveur Sharepoint. Pour les 3 autres vulnérabilités, un attaquant peut les exploiter en amenant un utilisateur à ouvrir un fichier Sharepoint spécialement conçu. 

CVE-2020-1153 [Score CVSS v3 : 7.8] : Une vulnérabilité de type exécution de code arbitraire a distance été découverte dans Microsoft Graphics Components. Elle est due à la manière dont le programme traite les objets en mémoire. Un attaquant peut exploiter cette vulnérabilité en amenant un utilisateur à ouvrir un fichier spécialement conçu.

CVE-2020-1062 [Score CVSS v3 : 7.5] : Il existe une vulnérabilité de type corruption de mémoire dans Internet Explorer. Un attaquant peut exploiter cette vulnérabilité en amenant un utilisateur à visiter une page web spécialement conçue et pourrait ainsi exécuter du code arbitraire.