Microsoft a corrigé 120 vulnérabilités avec ses mises à jour du Patch Tuesday d’août 2020, notamment un bug d’usurpation de Windows et une faille d’exécution de code à distance dans Internet Explorer qui ont été exploitées dans des attaques.

La vulnérabilité d’usurpation d’identité de Windows, suivie sous le nom CVE-2020-1464, est liée à la validation incorrecte des signatures de fichiers par Windows. Un attaquant peut exploiter cette faille pour contourner les fonctionnalités de sécurité et charger des fichiers mal signés. De nombreuses versions de Windows sont concernées, notamment Windows 7 et Windows Server 2008, pour lesquels la prise en charge est terminée.

Microsoft déclare être au courant des tentatives d’exploitation contre les versions les plus récentes et les plus anciennes de Windows.

La deuxième vulnérabilité activement exploitée corrigée ce mois-ci est CVE-2020-1380, un problème d’exécution de code à distance lié à la façon dont le moteur de script utilisé par Internet Explorer traite les objets en mémoire.

La faille de sécurité peut être exploitée en attirant l’utilisateur ciblé vers un site Web spécialement conçu, en le convaincant d’ouvrir un document Office malveillant, ou par le biais d’une attaque malveillante.

La CVE-2020-1380 a été signalée à Microsoft par des chercheurs de Kaspersky et la société de sécurité divulguera probablement des informations sur la vulnérabilité et les attaques dans les heures ou les jours à venir.

Parmi les vulnérabilités restantes corrigées par Microsoft ce mois-ci, 15 ont été jugées critiques. Ils ont principalement un impact sur Windows, mais certains affectent Edge, Internet Explorer, Outlook et le framework .NET, et une majorité d’entre eux peuvent être exploités pour l’exécution de code à distance.

Plus de 100 défauts ont été classés comme importants. Ils affectent Windows, Dynamics 365, Office, Outlook, SharePoint et Visual Studio Code, et ils peuvent être exploités pour l’exécution de code à distance, l’élévation de privilèges, les attaques XSS, les attaques DoS et pour obtenir des informations.

C’est le sixième mois consécutif avec plus de 110 CVE de Microsoft, a noté Dustin Childs de l’initiative Zero Day de Trend Micro, qui …