Microsoft tente une nouvelle fois de fermer la faille de sécurité par force brute d’Exchange

Selon Microsoft, la mise à jour est une autre tentative de correction de CVE-2023-21709, une vulnérabilité d’élévation de privilèges avec une méthode d’exploitation relativement simple. Une attaque par force brute pourrait permettre à un attaquant d’être authentifié en tant qu’un autre utilisateur, à condition que le mot de passe soit relativement faible. La vulnérabilité a été traitée dans la mise à jour de mardi d’août, mais nécessitait également que l’utilisateur désactive le module de mise en cache de jetons IIS via un script ou prenne des mesures manuelles. Il a fallu un certain temps, mais avec ce dernier correctif, la cause principale semble avoir été entièrement résolue. Microsoft a déclaré: « Nous vous recommandons d’installer le correctif IIS, après quoi vous pourrez réactiver le module de mise en cache de jetons sur vos serveurs Exchange ». Le géant de Windows estime que les clients utilisant Exchange Online ne sont pas affectés par les problèmes. À condition, bien sûr, qu’ils puissent faire fonctionner leur courrier électronique.