Le premier Patch Tuesday de Microsoft de l'année corrige quatre-vingt-dix-huit vulnérabilités de sécurité, dont dix classées comme critiques pour Windows. Une vulnérabilité (CVE-XNUMX-XNUMX) dans une section centrale du code Windows est une vulnérabilité zero-day qui nécessite une attention immédiate. Et Adobe est de retour avec une mise à jour critique, ainsi que quelques correctifs furtifs pour le navigateur Microsoft Edge.
Nous avons ajouté les mises à jour Windows et Adobe à notre liste "Patch Now", reconnaissant que les versions de correctifs de ce mois-ci nécessiteront des tests et des sacrifices techniques importants. L'équipe App Readiness a fourni une infographie utile décrivant les dangers associés à chacune des mises à jour pour ce cycle de mise à jour de janvier.
Problèmes connus
Chaque mois, Microsoft inclut une liste des problèmes connus liés au système d'exploitation et aux plates-formes incluses dans ce cycle de mise à jour.
- Microsoft Exchange (XNUMX-XNUMX) : après avoir installé cette mise à jour de janvier, les affichages Web précédents pour les URL partagées dans Outlook sur le Web (OWA) ne s'affichent pas correctement. Microsoft travaille actuellement sur une solution pour cela.
- Windows 10 : après l'installation de KB5001342 ou d'une version antérieure, le service de cluster Microsoft peut ne pas démarrer en raison du fait qu'un moniteur réseau de cluster est introuvable.
Windows 8, Windows XNUMX.x et Windows Server XNUMX présentent encore des inconvénients connus, mais avec ces systèmes d'exploitation vieillissants (et peu sûrs), il est temps de passer à autre chose.
Révisions importantes
Microsoft n'a publié aucun correctif essentiel ce mois-ci. Il y a eu plusieurs mises à jour de correctifs précédentes, mais uniquement à des fins de documentation. Aucune autre action n'est requise ici.
Options alternatives d'atténuation et de solutions
Microsoft n'a publié aucune atténuation ou solution de contournement concrète pour le cycle de publication de janvier Patch Tuesday de ce mois-ci.
guide d'examen
Chaque mois, l'équipe de préparation examine les dernières mises à jour du Patch Tuesday de Microsoft et fournit des conseils de test détaillés et exploitables. Ces conseils sont basés sur l'évaluation d'un vaste portefeuille d'applications et sur une analyse détaillée des correctifs Microsoft et de leur impact potentiel sur les plates-formes Windows et les installations d'applications.
Compte tenu du grand nombre de modifications incluses dans ce cycle de correctifs de janvier, j'ai divisé les cas de test en ensembles à haut risque et à risque standard :
Risque élevé: Cette mise à jour de janvier de Microsoft apporte un nombre important de modifications à haut risque au noyau système et aux sous-systèmes d'impression de Windows. Malheureusement, ces modifications incluent des fichiers système critiques tels que win32base.sys, sqlsrv32.dll et win32k.sys, élargissant encore le profil de test pour ce cycle de correctifs.
Étant donné que chaque modification à haut risque affecte le sous-système d'impression Microsoft Windows (bien que nous n'ayons vu aucune modification de fonctionnalité publiée), nous vous conseillons vivement les prochains tests axés sur l'impression :
- Ajoutez et supprimez des filigranes lors de l'impression.
- Modifiez le répertoire de spool par défaut.
- Connectez-vous à une imprimante Bluetooth et imprimez des pages en noir et blanc et en couleur.
- Essayez d'utiliser le superviseur d'imageur MS Publisher (Microsoft). Il est gratuit en tant que moniteur d'imprimante "générique" et peut être installé sur n'importe quel ordinateur exécutant Windows 8.x ou une version ultérieure. En raison du grand nombre de sites de téléchargement proposant ce lecteur, assurez-vous que votre téléchargement est signé numériquement et provient d'une source fiable (par exemple, Windows Update).
Tous ces scénarios nécessiteront des tests importants au niveau de l'application déjà avant la sortie générale de la mise à jour ce mois-ci. En plus de ces exigences de test spécifiques, nous suggérons des tests généraux des fonctionnalités d'impression à venir :
- Impression à partir d'imprimantes directement connectées.
- Impression à distance (via RDP et VPN).
- Testez des scénarios physiques et virtuels avec des applications XNUMX bits sur des machines XNUMX bits.
Plus généralement, compte tenu de la nature étendue de cette mise à jour, nous vous suggérons d'essayer les fonctionnalités et composants Windows suivants :
- Testez des scénarios basés sur l'utilisateur qui tirent parti de la prise en charge des points de contact et des gestes.
- Essayez de vous connecter/déconnecter des sessions VPN STTP. Vous pouvez en savoir plus sur ces protocoles mis à jour ici.
- Avec les services Microsoft LDAP, testez les applications qui nécessitent un accès aux requêtes Active Directory.
En plus de ces modifications et des exigences de test suivantes, j'ai inclus certains des scénarios de test les plus difficiles pour cette mise à jour de janvier :
- Requêtes SQL : Mon Dieu. Vous devrez vous assurer que vos applications critiques qui utilisent SQL (et celles qui n'en utilisent pas ?) fonctionnent vraiment. Comme dans "renvoyer les bons ensembles de données à partir de requêtes de bases de données trop complexes, multi-sources et hétérogènes". Cela étant dit, Microsoft a déclaré : « Cette mise à jour corrige un problème connu affectant les applications qui utilisent le moniteur Microsoft Open Database Connectivity (ODBC) SQL Server (sqlsrv32.dll) pour se connecter aux bases de données. Par conséquent, nous devrions voir cette situation s'améliorer ce mois-ci.
- Applications héritées - Si vous avez une application plus ancienne (héritée) qui utilise peut-être des classes Windows désormais obsolètes, vous devrez exécuter un test complet de l'application en plus des tests de fumée de base.
Avec tous ces scénarios de test plus difficiles, nous vous conseillons d'analyser votre portefeuille d'applications pour rechercher des composants d'application mis à jour ou des dépendances au niveau du système. Cette analyse devrait fournir une courte liste des applications affectées, ce qui devrait réduire vos sacrifices de test et de déploiement ultérieurs.
Mise à jour du cycle de vie de Windows
Cette section contiendra les modifications essentielles liées à la maintenance (et la plupart des mises à jour de sécurité) pour les plates-formes de bureau et de serveur Windows. Avec Windows 21 2H2023 désormais hors support général, nous avons les prochaines applications Microsoft qui arrivent à la fin du support général en XNUMX :
- Microsoft Endpoint Configuration Manager, version XNUMX (nous avons Intune maintenant, donc ça va).
- Windows 20 Enterprise et Education, version 2HXNUMX (nous avons cinq mois pour migrer, ça devrait aller).
- Windows 21 Home et Pro, version 2HXNUMX (avec une date d'expiration de juin XNUMX).
- Prise en charge étendue pour Exchange Server deux mille treize (onze avril deux mille vingt trois).
Chaque mois, nous divisons le cycle de publication en familles de produits (telles que définies par Microsoft) avec les regroupements de base suivants :
- Navigateurs (Microsoft IE et Edge)
- Microsoft Windows (bureau et serveur)
- Microsoft Office
- Serveur Microsoft Exchange
- Plateformes de développement Microsoft (NET Core, .NET Core et Chakra Core)
- Adobe (retraité ? peut-être l'année prochaine)
navigateurs
Microsoft a publié ce mois-ci 5 mises à jour de son navigateur Chromium, chacune d'entre elles corrigeant les vulnérabilités liées à la mémoire "utilisation après publication" dans le moteur Chromium. Vous pouvez trouver la version Microsoft de ces notes de version ici et les notes de version du canal Google Desktop ici. Il n'y a pas eu d'autres mises à jour des navigateurs (ou moteurs de rendu) de Microsoft ce mois-ci. Ajoutez ces mises à jour à votre calendrier de publication de correctifs standard.
les fenêtres
Janvier apporte dix mises à jour critiques ainsi que soixante-sept correctifs jugés essentiels pour la plate-forme Windows. Ils couvrent les composants clés suivants :
- Serveur d'autorité de sécurité locale Microsoft (lsasrv)
- Fournisseur Microsoft WDAC OLE DB (et moniteur ODBC) pour SQL
- Moteur de sauvegarde Windows
- Services de chiffrement Windows
- Informations sur les chutes de Windows (WER)
- LDAP Windows - Protocole d'accès à l'annuaire léger
Généralement, il s'agit d'un correctif axé sur la mise à jour du réseau et de la pile d'authentification locale avec certains correctifs du cycle de correctifs du mois dernier. Malheureusement, une vulnérabilité (CVE-XNUMX-XNUMX) dans la section Windows Code Center (ALPC) a été signalée publiquement. Microsoft décrit ce scénario comme "un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les privilèges SYSTEM". Merci, Stiv, pour votre travail acharné sur un cas comme celui-ci.
Remarque : Chaque agence fédérale américaine a reçu pour instruction de corriger cette vulnérabilité d'ici la fin janvier dans le cadre de l'« Binding Operational Order » (BOD) de la CISA.
Ajoutez cette mise à jour à votre calendrier de publication "Patch Now".
Microsoft Office
Microsoft a résolu un seul problème critique avec SharePoint Server (CVE-8-XNUMX) et XNUMX autres vulnérabilités de sécurité considérées comme essentielles par Microsoft affectant les applications Visio et Office XNUMX. Nos tests n'ont trouvé aucun problème significatif lié aux modifications du Patch Tuesday, car la plupart des modifications ont été incluses dans les collections Microsoft Clic-to-Run, qui ont un profil de déploiement et de test nettement inférieur. Ajoutez ces mises à jour Microsoft Office à votre calendrier de déploiement standard.
Serveur Microsoft Exchange
Pour cette version du patch de janvier pour Microsoft Exchange Server, Microsoft a livré 5 mises à jour, toutes jugées essentielles pour les versions 2019 et XNUMX :
Aucune de ces vulnérabilités n'est rendue publique, signalée comme étant exploitée dans la nature ou n'a été documentée comme conduisant à l'exécution de code arbitraire. Avec ces quelques problèmes de sécurité à faible risque, nous vous conseillons de prendre votre temps pour tester et mettre à jour chaque serveur. Une chose à noter est que Microsoft a introduit une nouvelle fonctionnalité (signature de certificat PowerShell) dans cette version "fixe", qui peut nécessiter des tests auxiliaires. Ajoutez ces mises à jour d'Exchange Server à votre calendrier de publication de serveur standard.
Plateformes de développement Microsoft
Microsoft a publié deux mises à jour de plateforme de développement (CVE-XNUMX-XNUMX et CVE-XNUMX-XNUMX) qui affectent Visual et Microsoft .NET XNUMX. Les deux mises à jour sont considérées comme essentielles par Microsoft et peuvent être ajoutées à son calendrier de publication standard.
Adobe Reader
Les mises à jour pour Adobe Reader sont de retour ce mois-ci, bien que Microsoft n'ait pas publié les derniers correctifs. La dernière série de mises à jour (APSB vingt-trois et un) a résolu 8 problèmes de mémoire critiques et 7 mises à jour essentielles, dont la pire pourrait entraîner l'exécution de code arbitraire sur ce système non corrigé. Avec une note CVSS supérieure à la moyenne (8), nous vous conseillons d'ajouter cette mise à jour à votre cycle de publication "Patch Now".
Copyright © deux mille vingt-trois IDG Communications, Inc.