Le rythme des correctifs ce mois-ci est revenu à la normale: nous avons eu les correctifs du mardi du patch le 14 avril, suivis des correctifs «optionnels, non sécurisés, de la semaine C / D» une semaine plus tard (aperçu cumulatif mensuel pour les utilisateurs de Win8.1). Avec un peu de chance, c’est la dernière série de correctifs «facultatifs» déroutants pour Win10: Microsoft promet que nous n’en verrons plus.

Nous avions également un correctif hors bande pour Office 2016 Click-to-Run, Office 2019 (qui n’est disponible qu’en Click-to-Run) et Microsoft 365 Apps for Enterprise (anciennement Office 365 ProPlus). Le gros problème avec ces correctifs se situe dans la colonne « ce n’est pas un bug, c’est une fonctionnalité ».

Des vulnérabilités zero-day plus grandes et effrayantes

Pour la foule de Chicken Little, nous avions trois correctifs zero-day – ceux identifiés par Microsoft comme étant «exploités» lors de leur publication – et, pour autant que je sache, aucun de ceux-ci n’a trouvé sa place dans les attaques traditionnelles. Même vieille histoire.

Comme sidenote perplexe, de nombreux rapports incluaient un quatrième patch de jour zéro, CVE-2020-0968, qui a été publié avec une indication de « Exploité: Oui » mais est maintenant répertorié comme « Exploité: Non ». Longue histoire, mais les rapports divergents sur le Web ont été largement mis à jour. (Thx, @campuscodi, @ dangoodin001)

Je n’ai pas connaissance d’attaques généralisées basées sur l’un des trois (ou quatre) correctifs «exploités». Comme d’habitude, les exploits à ce stade se limitent à des attaques extrêmement ciblées.

Les bibliothèques VBA sont bloquées avec les correctifs Office Click-to-Run

Si vous utilisez l’une des versions récentes d’Office en un clic et que vous commencez à recevoir des messages d’erreur «Erreur de compilation: / Impossible de trouver le projet ou la bibliothèque» (voir capture d’écran), il y a une raison à cela. Vous exécutez une commande VBA – que vous vous en rendiez compte ou non – qui essaie d’ouvrir quelque chose sur le Web sauvage et sauvage.

Microsoft