Microsoft : 2 vulnérabilités 0-day activement exploitées corrigées dans le Patch Tuesday

Le mercredi 13 septembre 2023, Microsoft a publié des correctifs logiciels pour remédier à 59 failles couvrant son portefeuille de produits, y compris 2 vulnérabilités de type 0-day activement exploitées par les acteurs de la menace.

Les détails concernant la nature de l’exploitation ou l’identité des acteurs de la menace à l’origine des attaques restent actuellement inconnus.

CVE-2023-36802 (score CVSS : 7.8)

Cette vulnérabilité provenait du service Microsoft Streaming Service Proxy. Son exploitation permettait à un attaquant local avec un faible niveau de privilège d’obtenir les privilèges de l’utilisateur SYSTEM. Microsoft a annoncé que cette vulnérabilité est actuellement activement exploitée sur Internet, sans toutefois fournir plus de détail sur son origine ni sur la façon de l’exploiter.

Produits impactés :

• Windows server 2019
• Windows server 2022
• Windows 10
• Windows 11

CVE-2023-36761 (score CVSS : 6.2)

Cette vulnérabilité dans Microsoft Word permettait à des attaquants de divulguer des condensats NTLM (New Technology LAN Manager) utilisés de manière abusive dans des attaques de type pass-the-hash permettant à un attaquant de se latéraliser sur les systèmes compromis.

Selon Satnam Narang, chercheur en cybersécurité chez Tenable, l’exploitation de la CVE-2023-36761 ne se limite pas à l’ouverture d’un document Word malveillant par une cible potentielle, car le simple fait de prévisualiser le fichier peut déclencher l’exploit. Il s’agit de la deuxième vulnérabilité de type 0-day observée en 2023 qui entraîne la divulgation des condensats NTLM dans les produits de Microsoft. Corrigée dans le cadre du Patch Tuesday de mars 2023, la CVE-2023-23397 permettait d’effectuer une vulnérabilité d’élévation de privilèges dans Outlook et aurait été exploitée par des acteurs de la menace basés en Russie selon Microsoft.

Produits impactés :

• Microsoft 365 Apps for Enterprise 32 bits
• Microsoft 365 Apps for Enterprise for 64 bits Systems
• Microsoft Office 2019 for 64 bits editions
• Microsoft Office 2019 for Mac
• Microsoft Office LTSC 2021 for 32 bits editions
• Microsoft Office LTSC 2021 for 64 bits editions
• Microsoft Office LTSC for Mac 2021
• Microsoft Office Online Server

Références :

https://msrc.microsoft.com/update-guide/releaseNote/2023-Sep
https://thehackernews.com/2023/09/microsoft-releases-patch-for-two-new.html
https://www.crowdstrike.com/cybersecurity-101/ntlm-windows-new-technology-lan-manager/
https://www.crowdstrike.fr/cybersecurity-101/pass-the-hash/
https://www.tenable.com/blog/microsofts-september-2023-patch-tuesday-addresses-61-cves-cve-2023-36761
https://thehackernews.com/2023/03/microsoft-warns-of-stealthy-outlook.html