Vulnérabilités dans plusieurs produits Microsoft
Date de publication :
CVE-2021-1722[Score CVSS v3 : 9.8] : Une vulnérabilité dans le service de Fax de Windows a été corrigée. Son exploitation peut permettre à un attaquant distant et non-authentifié d’injecter du code arbitraire sur le dispositif vulnérable.
CVE-2021-1726[Score CVSS v3 : 8.0] : Une vulnérabilité dans Microsoft Sharepoint a été corrigée. Son exploitation peut permettre à un attaquant distant et authentifié d’usurper l’identité d’un utilisateur légitime.
CVE-2021-1728[Score CVSS v3 : 8.8] : Une vulnérabilité dans le gestionnaire du centre d’opérations systèmes a été corrigée. Son exploitation peut permettre à un attaquant distant et authentifié d’élever ses privilèges sur le système hôte sous-jacent.
CVE-2021-1733[Score CVSS v3 : 7.8] : Une vulnérabilité au sein du programme PsExec Sysinternals a été corrigée. Son exploitation peut permettre à un attaquant local et authentifié d’élever ses privilèges sur les dispositifs vulnérables.
CVE-2021-24066[Score CVSS v3 : 8.8] : Une vulnérabilité concernant la classe SPWorkflowDataSourceView dans Microsoft Sharepoint a été corrigée. Elle est due à une validation incorrecte des données utilisateur passée en entrée lors de leur désérialisation. Son exploitation peut permettre à un attaquant distant et authentifié d’injecter du code arbitraire.
CVE-2021-24074[Score CVSS v3 : 9.8] : Une vulnérabilité dans l’implémentation de la pile TCP/IP a été corrigée. Son exploitation peut permettre à un attaquant distant et authentifié d’injecter du code arbitraire sur les dispositifs vulnérables.
CVE-2021-24077[Score CVSS v3 : 9.8] : Une vulnérabilité dans le service de Fax de Windows a été corrigée. Son exploitation peut permettre à un attaquant distant et non-authentifié d’injecter du code arbitraire sur un dispositif vulnérable.
CVE-2021-24078[Score CVSS v3 : 9.8] : Une vulnérabilité dans le service DNS de Windows a été corrigée. Son exploitation peut permettre à un attaquant distant et non-authentifié d’injecter du code arbitraire sur un dispositif vulnérable.
CVE-2021-24093[Score CVSS v3 : 8.8] : Une vulnérabilité dans un composant graphique de Microsoft a été corrigée. Son exploitation peut permettre à un attaquant distant et non-authentifié d’injecter du code arbitraire.
CVE-2021-24094[Score CVSS v3 : 9.8] : Une vulnérabilité dans l’implémentation de la pile TCP/IP a été corrigée. Son exploitation peut permettre à un attaquant distant et non-authentifié d’injecter du code arbitraire sur les dispositifs vulnérables.
CVE-2021-24105[Score CVSS v3 : 7.8] : Une vulnérabilité dans les configurations de gestionnaire de paquets de Microsoft a été corrigée. Son exploitation peut permettre à un attaquant local et non-authentifié d’injecter du code arbitraire.
CVE-2021-24112[Score CVSS v3 : 9.8] : Une vulnérabilité dans l’outil .NET Core Remote de Microsoft a été corrigée. Son exploitation peut permettre à un attaquant local et non-authentifié d’injecter du code arbitraire.
CVE-2021-26701[Score CVSS v3 : 9.8] : Une vulnérabilité dans l’outil .NET Core Remote de Microsoft a été corrigée. Son exploitation peut permettre à un attaquant local et non-authentifié d’injecter du code arbitraire.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Usurpation d’identité
- Injection de code arbitraire
- Elévation de privilèges
Criticité
- Scores CVSS v3 : 7.8 ; 8.0 ; 8.8 ; 9.8
Existence d’un code d’exploitation
- Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.
Composants vulnérables
- Une liste détaillée des logiciels et systèmes impactés par ces vulnérabilités est disponible dans le lien en référence de ce bulletin.
CVE
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour les systèmes d’exploitation concernés conformément aux instructions de Microsoft.
Solution de contournement
Aucune solution de contournement n’est proposée à l’heure actuelle.