Le 12 janvier, Microsoft publiera de nouvelles mises à jour pour Windows 10

En plus des packages de cumul pour les systèmes d'exploitation Windows 10, Windows 7 et Windows 8.1, Microsoft publiera des mises à jour pour les serveurs Office, Microsoft 365 et Sharepoint
Patch Tuesday: 12 janvier, Microsoft publiera de nouvelles mises à jour pour Windows 10

Un changement d'orientation vers la sécurité est ce à quoi nous pouvons nous attendre le premier mardi du patch 2021. 2020 n'était pas comme les autres, mais 2021 semble également unique.

L'année a commencé par continuer à enquêter sur les causes du piratage du logiciel SolarWinds Orion. De nombreuses prévisions indiquaient la probabilité d'une autre cyberattaque majeure en 2021, mais personne n'aurait pu prévoir ce type d'attaque et son impact sur l'industrie. Cette attaque a attiré l'attention sur des problèmes de sécurité et de développement logiciel.

L'attaque a été menée à l'aide d'un cheval de Troie d'accès à distance intégré à la solution logicielle SolarWinds Orion. Ce type d'attaque est communément appelé attaque de la chaîne d'approvisionnement, car un logiciel malveillant est ajouté et compilé dans un produit de confiance d'une entreprise réputée. Une fois le logiciel compromis installé sur un point de terminaison, le cheval de Troie a envoyé un message à un réseau distant, puis l'accès au point de terminaison a été organisé. Un attaquant pourrait lire et modifier à distance des fichiers sur un système compromis sans crainte d'être détecté. Ce scénario diffère d'une attaque typique, où un pirate tente de tromper la victime en installant des logiciels malveillants en utilisant le phishing et l'ingénierie sociale.

Les cybercriminels impliqués dans l'attaque SolarWinds avaient garanti la connectivité à tous les systèmes contrôlés par le produit, tandis que les attaques de phishing ont accès au système aléatoire de la victime qui a installé le malware. Comme mentionné précédemment, l'attaque SolarWinds a été efficacement masquée dans le cadre d'un produit fiable et bien connu, tandis que les attaques de phishing peuvent être détectées par diverses méthodes, y compris des programmes antivirus.

Une enquête sur l'incident a déterminé que le logiciel malveillant avait été ajouté au produit SolarWinds en mars 2020 et qu'il était inclus dans toutes les mises à jour du produit depuis lors. Au fur et à mesure que les clients mettaient à jour leurs systèmes avec des versions plus récentes de SolarWinds Orion, ils restaient vulnérables à l'accès à distance et aux compromis. Il n'est pas surprenant que des questions et des discussions intéressantes aient émergé par la suite sur des forums spécialisés sur la sécurité.

L'incident SolarWinds remet en question les pratiques générales de sécurité du développement logiciel de l'industrie, y compris les procédures telles que l'application de correctifs aux machines de développement, l'externalisation du développement de code, la surveillance et la compréhension des fonctionnalités du code au milieu des fusions et du roulement, les révisions de code, etc. méthodes d'identification des problèmes de sécurité.

Les ramifications du compromis SolarWinds obligent de nombreuses entreprises à repenser et à réorienter leur concentration sur les aspects sécuritaires et juridiques du processus de développement logiciel.

Un changement d'orientation vers la sécurité est ce à quoi nous pouvons nous attendre pour le premier Patch Tuesday de 2021. Nous avons vu un nombre record de vulnérabilités corrigées en 2020, et il semble que cette tendance se poursuivra cette année alors que les entreprises se concentrent sur la sécurisation de leurs produits.

Microsoft publie généralement moins de versions en janvier, vous devez donc vous attendre à un petit nombre de mises à jour et de corrections de bogues. En plus des packages pour les systèmes d'exploitation Windows 10, Windows 7 et Windows 8.1, des mises à jour seront publiées pour les serveurs Office, Microsoft 365 et Sharepoint. Assurez-vous également de rechercher les dernières mises à jour de Service Stack (SSU) - il y a plusieurs nouvelles mises à jour chaque mois. Pour rappel, pour Windows 10, version 2004 et plus récente, les mises à jour de la pile de services sont incluses dans les mises à jour cumulatives.

Le patch Tuesday du 12 janvier 2021 complète la première année des mises à jour de sécurité étendues (ESU) pour Windows 7 et Windows Server 2008. Microsoft a annoncé qu'il fournirait au moins deux années supplémentaires de support sur une base payante.

Adobe n'a pas fourni d'informations préliminaires sur les versions, mais le «Patch Tuesday» de décembre, la société a publié des mises à jour pour Acrobat et Reader, et une autre série de mises à jour peut être prévue en janvier. N'oubliez pas que le cycle de vie d'Adobe Flash Player est terminé. Désinstallez les anciennes versions du produit. Vous pouvez utiliser Flash Games Preservation Project, Internet Archive ou l'extension Ruffle pour accéder au contenu Flash.

Apple a publié des mises à jour de sécurité pour macOS Big Sur 11 peu avant les vacances du 14 décembre. Des mises à jour de sécurité pour iCloud et iTunes pour Windows sont attendues cette fois.
Google Chrome a été mis à jour vers la version 87.0.4280.141, qui corrige 16 bogues de sécurité, dont 15 ont reçu une cote de gravité élevée. Il est peu probable que de nouveaux correctifs soient publiés cette semaine.