Patch Tuesday : qui veut les pleins pouvoirs sur Microsoft Exchange ?
Deux des failles que corrige le Patch Tuesday de février 2019 peuvent donner des privilèges de niveau administrateur sur des serveurs Exchange et Active Directory.
À chaque Patch Tuesday son lot de failles critiques.
Celui de février 2019 n’y fait pas exception : on en recense 20 sur un total de 70 vulnérabilités corrigées.
L’une d’entre elles, répertoriée CVE-2019-0676, touche Internet Explorer 10 et 11 sur toutes les versions de Windows encore prises en charge. Elle donne, sur la machine ciblée, un accès en lecture au système de fichiers. Microsoft la dit « activement exploitée ».
Ce Patch Tuesday élimine aussi des failles déjà rendues publiques. Les CVE-2019-0686 et CVE-2019-0724 en sont un exemple. Elles peuvent permettre, sur les serveurs Exchange, d’obtenir des droits d’administrateur en partant d’un compte utilisateur de base.
Le problème se trouve dans les services web Exchange (EWS), au niveau de la gestion des notifications push. Les requêtes d’authentification peuvent être manipulées de sorte à se faire passer pour un autre utilisateur.
En cas d’impossibilité d’appliquer les correctifs, il est possible d’empêcher le serveur d’envoyer des notifications EWS. Mais cela perturbera le fonctionnement de logiciels comme Outlook pour Mac et Skype for Business.