Microsoft propose un Patch Tuesday solide et à faible impact

Mars nous apporte un ensemble solide de mises à jour de Microsoft pour Windows, Microsoft Office, Exchange et Edge (Chromium), mais aucun problème critique nécessitant un calendrier de publication “Patch Now” (bien que Microsoft Exchange nécessitera des efforts techniques ce mois-ci). Nous avons publié des directives de test, en mettant l’accent sur l’impression, le bureau à distance sur les connexions VPN et les changements de réseau basés sur le serveur. Nous vous recommandons également de tester vos packages d’installation Windows en mettant l’accent sur les fonctionnalités de restauration et de désinstallation.

Vous pouvez trouver plus d’informations sur le risque de déploiement de ces mises à jour Patch Tuesday avec cette infographie utile. Et, si vous cherchez plus d’informations sur les mises à jour .NET, il y a un excellent message de Microsoft qui met en évidence les changements de ce mois-ci.

Principaux scénarios de test

Au moins un changement à haut risque a été signalé sur la plate-forme Windows en mars. Nous avons inclus les directives de test approximatives suivantes basées sur notre analyse des fichiers modifiés et du contenu des mises à jour Windows et Office de ce mois :

(Risque élevé): testez vos imprimantes en réseau via le protocole RDP (Remote Desktop Protocol). Microsoft n’a publié aucune modification fonctionnelle pour la mise à jour de ce mois-ci, car les modifications sont dues à des problèmes de sécurité.
Pilote d’imprimante V4, impression à distance et imprimante(s) redirigée(s) basée(s) sur le réseau.
Testez vos processus de sauvegarde et de restauration lorsque vous utilisez des systèmes de fichiers cryptés (EFS).
Vérifiez que vos VPN s’authentifient correctement sur le protocole de tunneling point à point (PPTP).
Testez vos processus de rapport d’erreurs Windows avec Créer/Lire/Mettre à jour/Supprimer (CRUD) pour tous les fichiers journaux.
Localisez les références d’application à NtAlpcCreatePortNtAlpcCreatePort sur vos serveurs Windows et validez les résultats de votre application.

Si vous avez le temps, il peut être utile de tester les chemins UNC vers les boîtes DOS (en raison de plusieurs modifications apportées à la pile réseau et d’authentification). Il y a aussi eu une mise à jour du FastFAT pilote système et comment Caractères définis par l’utilisateur final (EUDC) sont manipulés. Microsoft a maintenant inclus les exigences de déploiement et de redémarrage pour cette mise à jour de mars 2022 en une seule page

Problèmes connus

Chaque mois, Microsoft inclut une liste des problèmes connus liés au système d’exploitation et aux plateformes inclus dans ce cycle. Il y a plus que d’habitude cette fois-ci, j’ai donc fait référence à quelques problèmes clés liés aux dernières versions de Microsoft, notamment :

Après l’installation de cette mise à jour, lors de la connexion à des appareils dans un domaine non approuvé à l’aide du Bureau à distance, les connexions peuvent ne pas s’authentifier lors de l’utilisation de l’authentification par carte à puce. Vous pourriez recevoir l’invite “Vos informations d’identification n’ont pas fonctionné”. Comme le mois dernier, Microsoft a publié un certain nombre de fichiers GPO qui résolvent ce problème, notamment : Serveur Windows 2022 et Windows 10
Après l’installation des mises à jour publiées le 11 janvier ou une version ultérieure, les applications qui utilisent Microsoft .NET Framework pour acquérir ou définir les informations d’approbation de la forêt Active Directory à l’aide du System.DirectoryServers L’API peut échouer ou générer un message d’erreur.

Il y avait un problème en suspens depuis le cycle de mise à jour de janvier où l’exécutable DWM.EXE se bloque après l’installation KB5010386. Ce problème est maintenant résolu. Si vous recherchez plus de données sur ces types de problèmes signalés, une excellente ressource de Microsoft est le Centre de santé — plus précisément, vous pouvez vous renseigner sur Windows 10 et Windows 11 les problèmes connus et leur état actuel.

Révisions majeures

Bien qu’il existe une liste beaucoup plus petite de correctifs pour ce cycle de correctifs, Microsoft a publié plusieurs révisions des correctifs précédents, notamment :

CVE-2021-3711: Il s’agit d’une mise à jour de Visual Studio de novembre 2021. Une nouvelle version a été mise à jour pour inclure la prise en charge des dernières versions de Visual Studio 2022. Aucune action supplémentaire n’est requise.
CVE-2021-36927: Ce correctif mis à jour résout un problème de codec TV Tuner en 2021. Microsoft a utilement publié un ensemble de documentation mis à jour à cet effet, notant que le correctif est désormais officiel et résout entièrement le problème signalé. Aucune autre action requise.

Atténuations et solutions de contournement

Ce mois-ci, Microsoft n’a publié aucune atténuation ou solution de contournement pour les mises à jour et correctifs de Windows, Microsoft Office, du navigateur ou de la plate-forme de développement. Il existe une liste continue d’atténuations et de mises à jour liées aux problèmes connus pour Microsoft Exchange (elles sont incluses dans notre section relative à Exchange).

Chaque mois, nous décomposons le cycle de mise à jour en familles de produits (telles que définies par Microsoft) avec les regroupements de base suivants :

Navigateurs (Microsoft IE et Edge) ;
Microsoft Windows (bureau et serveur) ;
Microsoft Office;
Microsoft Exchange;
Plateformes de développement Microsoft ( ASP.NET Core, .NET Core et Chakra Core);
Adobe (retraité ???, peut-être l’année prochaine).

Navigateurs

Suivant une tendance établie par Microsoft au cours des derniers mois, seul le navigateur Chromium Edge a été mis à jour. En l’absence de mises à jour critiques et de 21 vulnérabilités signalées jugées importantes par Microsoft, il s’agit d’un autre cycle de mise à jour facile. En plus de résoudre les problèmes potentiels avec le moteur de compression Brotli, vous devriez être en mesure de déployer les mises à jour du navigateur selon votre calendrier de publication normal.

les fenêtres

Suivant la tendance des mises à jour moins nombreuses (en nombre et en nature) ce mois-ci, Microsoft n’a publié que deux mises à jour critiques (CVE-2022-22006 et CVE-2022-24501). Aucune des deux mises à jour n’est susceptible d’affecter les plates-formes principales, car chacune corrige un codec vidéo unique et un composant Microsoft Store. Les 40 correctifs restants sont tous considérés comme importants par Microsoft et mettent à jour les composants Windows principaux suivants :

Client de bureau à distance (RDP);
Journal des erreurs Windows (il a été mis à jour tous les mois cette année) ;
Réseautage (SMB et PTPTP);
Mise à jour Windows et programme d’installation Windows.

Vous voudrez peut-être ajouter un test Windows Installer à votre régime de test ce mois-ci. Ajoutez ces mises à jour Windows à votre calendrier de publication standard.

Microsoft Office

Si vous avez déjà recherché un profil de correctif “à faible risque” pour Microsoft Office, les mises à jour de ce mois-ci sont un très bon candidat. Microsoft a publié six correctifs pour Office, tous considérés comme importants. Plus important encore, ils affectent soit Skype (ce qui n’est pas si important), soit le “Cliquez pour exécuter” (CTR) d’Office. La version CTR est la version virtualisée et autonome de l’installation d’Office qui est transmise au système cible. De par leur conception, ces installations n’ont que peu ou pas d’effet sur le système d’exploitation et compte tenu de la nature Parmi les modifications apportées ce mois-ci, il y a très peu de risque de déploiement. Ajoutez ces mises à jour Office à votre calendrier de déploiement standard.

Serveur Microsoft Exchange

Enfin, une vulnérabilité critique de Microsoft. Non attends! Zut, c’est pour Exchange. Microsoft Exchange est dans les mauvais livres ce mois-ci avec l’une des rares vulnérabilités critiques (CVE-2022-23277). Sur les deux correctifs liés à Exchange pour mars, l’autre (CVE-2022-24463) est considéré comme important et pourrait conduire à un scénario potentiel d’usurpation d’informations d’identification. Le problème critique est considéré comme très susceptible d’être exploité, mais nécessite que l’attaquant soit authentifié. Ceci n’est pas un “vermifuge“, nous vous recommandons donc d’ajouter les mises à jour Microsoft Exchange à votre déploiement de serveur standard. Cette mise à jour nécessitera un redémarrage de vos serveurs. Il y a eu plusieurs problèmes publiés avec les mises à jour récentes de Microsoft Exchange, et nous avons donc inclus une liste des problèmes connus lors de la mise à jour de vos serveurs Exchange, notamment :

Lorsque vous essayez d’installer manuellement cette mise à jour de sécurité en double-cliquant sur le fichier de mise à jour (.MSP) pour l’exécuter en mode Normal (c’est-à-dire pas en tant qu’administrateur), certains fichiers ne sont pas correctement mis à jour.
Les services Exchange peuvent rester dans un état désactivé après l’installation de cette mise à jour de sécurité. Pour résoudre ce problème, démarrez le processus de mise à jour en tant qu’administrateur.
Lorsque vous bloquez les cookies tiers dans un navigateur Web, vous pouvez être continuellement invité à faire confiance à un complément particulier, même si vous continuez à sélectionner l’option de lui faire confiance.
Lorsque vous essayez de demander des informations de disponibilité pour un utilisateur dans une forêt différente dans une topologie inter-forêts approuvée, la demande échoue et génère un message d’erreur « (400) Bad Request ».

Microsoft a publié une solution de contournement pour l’erreur “400 Bad Request”

Plateformes de développement Microsoft

Microsoft n’a publié que quatre mises à jour de ses plates-formes de développement pour mars, toutes jugées importantes. Deux correctifs sont pour la plate-forme .NET (CVE-2022-24512 et CVE-2022-24464), qui nécessitent tous deux une interaction de l’utilisateur pour fournir leur charge utile, entraînant au pire une attaque par élévation de privilèges. Le correctif Microsoft qui peut vous donner mal à la tête a été soulevé par Google en 2020 (c’est donc l’identifiant CVE de CVE-2020-8927). Cette mise à jour du Patch Tuesday pour Brotli peut affecter la façon dont vos pages Web sont compressées (notez que je n’ai pas dit “zippé”). Avant de déployer cette mise à jour, examinez rapidement vos pages Web internes et vos applications basées sur un navigateur utilisant Brotli pour détecter les effets indésirables sur la décompression du CSS et du JavaScript (indice, indice). Sinon, ajoutez ces mises à jour à votre calendrier de correctifs standard.

Adobe (vraiment juste Reader)

Tout comme le mois dernier, Adobe n’a publié aucune mise à jour ou correctif pour les gammes de produits Adobe Reader. C’est une bonne nouvelle et, espérons-le, cela fait partie d’une tendance plus large. J’espère que les mises à jour d’Adobe Reader suivront le même correctif que les correctifs de navigateur de Microsoft (un nombre toujours plus faible de mises à jour critiques), puis, comme avec le navigateur Microsoft Chromium, nous ne verrons que quelques problèmes de sécurité jugés importants à la fois par la communauté et Microsoft. Adobe a publié quelques correctifs pour son Photoshop, Effets secondaires et Illustrateur des produits. Cependant, ces mises à jour sont axées sur le produit et ne devraient pas affecter vos calendriers généraux de déploiement des correctifs de bureau/serveur.

— to www.computerworld.com

Magazine Gadgets