Les 80 trous de la rentrée

Du serveur à la station, de l’antique Windows 7 et Server 2012R2 aux versions les plus récentes, Microsoft diffuse une giboulée de correctifs, dont deux failles exploitées (CVE-2019-1214 et CVE-2019-1215) et trois ayant fait l’objet de publications préalables (CVE-2019-1253, CVE-2019-1294 et CVE-2019-1235) . Averse assez sérieuse pour motiver un staccato de tweets du Cert-FR, l’inévitable analyse de Beyond Trust, l’habituel tableau du Sans (lequel ne comporte pas le moindre « patch now » couleur sang) sans oublier la revue de détail de Thalos. Au total 19 correctifs, 80 failles dont 19 jugées « critiques ». CVE-2019-1214 et CVE-2019-1215, les deux failles “exploitées”, concernent toutes les versions existantes de Windows (en d’autres termes, les éditions encore maintenues). Microsoft rappelle à cette occasion que la date limite de consummation de Windows 7 et de Server 2008 R2 arrive à expiration le 14 janvier 2020.
Au titre des bizarreries, on remarque une possibilité d’exploitation à distance d’un fichier .lnk (link) CVE-2019-1280. Les fan de la saga Stuxnet se rappellent des ravages que peuvent provoquer ce genre d’extension, en d’autres circonstances et en d’autres conditions.