« Commençons notre été avec un bug pwn-me-by-Wi-Fi dans Microsoft Windows »

Mardi des correctifs Microsoft a lancé notre saison estivale avec un Patch Tuesday de juin relativement léger, publiant des mises à jour pour 49 failles de sécurité étiquetées CVE dans ses produits – dont une jugée critique, une assez terrifiante dans les réseaux sans fil, et une répertoriée comme publiquement divulguée. Celle répertoriée comme publiquement connue, mais pas encore exploitée publiquement, est la CVE-2023-50868 dans Windows Server ainsi que dans des logiciels non-Microsoft. Il s’agit d’une vulnérabilité dans les implémentations de DNSSEC que nous connaissons depuis février; les lecteurs du site El Reg se souviendront de ce bug, surnommé NSEC3-encloser, qui peut être exploité par un attaquant distant pour potentiellement épuiser les ressources du CPU sur un système vulnérable, le rendant ainsi inopérant. « CVE-2023-50868 concerne une vulnérabilité dans la validation DNSSEC où un attaquant pourrait exploiter les protocoles DNSSEC standard destinés à l’intégrité DNS en utilisant des ressources excessives sur un résolveur, provoquant un déni de service pour les utilisateurs légitimes », a déclaré Redmond mardi. Pendant ce temps, la faille critique annoncée – CVE-2024-30080 – est un problème d’exécution de code à distance (RCE) dans Microsoft Message Queuing (MSMQ) et est assez sérieux pour avoir reçu une note de gravité CVSS de 9.8 sur 10. Redmond décrit celle-ci comme « plus probablement exploitée ». Elle pourrait permettre à un attaquant distant et non authentifié d’exécuter du code arbitraire en envoyant un paquet malveillant spécialement conçu MSMQ à un système Windows vulnérable, tel qu’une boîte Windows Server.