Patch De Sécurité

Selon Next INpact, Microsoft a corrigé en novembre (Patch Tuesday) CVE-2025-9491, un problème lié aux fichiers LNK que l’éditeur ne considérait pas comme une vulnérabilité, bien qu’il ait été activement exploité depuis 2017. 🧩 Nature de la vulnérabilité: les fichiers .LNK permettent jusqu’à 32 000 caractères dans le champ Target, mais l’interface Windows n’en affichait que 260 dans la boîte de dialogue Propriétés. Des attaquants pouvaient ainsi cacher des commandes malveillantes au-delà de cette limite, en usant d’espaces et d’obfuscation, rendant l’artefact trompeur lors d’une simple inspection visuelle. Le correctif modifie l’UI pour afficher l’intégralité de la commande Target, quelle que soit sa longueur. ...

Source: BleepingComputer — ASUS a publié un nouveau firmware pour corriger une faille critique de contournement d’authentification affectant plusieurs routeurs DSL, permettant un accès distant non authentifié avec une faible complexité d’attaque et sans interaction utilisateur. • Vulnérabilité: CVE-2025-59367 — contournement d’authentification permettant à un attaquant distant non authentifié de se connecter aux appareils exposés en ligne, via des attaques de faible complexité et sans interaction utilisateur. • Produits et correctif: firmware 1.1.2.3_1010 disponible pour les DSL-AC51, DSL-N16 et DSL-AC750. ASUS recommande d’installer la dernière version depuis la page support ou la page produit. ...

Selon Picus Security, Microsoft a publié un correctif hors bande pour CVE-2025-59287, une vulnérabilité critique d’exécution de code à distance affectant Windows Server Update Services (WSUS), déjà exploitée dans la nature. Nature de la faille: désérialisation .NET non sécurisée dans la méthode Microsoft.UpdateServices.Internal.Authorization.EncryptionHelper.DecryptData() qui appelle BinaryFormatter.Deserialize() sur des données d’AuthorizationCookie contrôlables par l’utilisateur, sans validation de type. Impact: RCE avec privilèges SYSTEM de manière non authentifiée via des requêtes SOAP malveillantes envoyées aux services web de reporting WSUS. Produits/Composants concernés: WSUS (ports par défaut 8530/8531), endpoint /ClientWebService/Client.asmx (méthode GetCookie). Technique d’exploitation (résumé) 🚨: ...

Selon BleepingComputer, ConnectWise a diffusé une mise à jour de sécurité visant à corriger plusieurs vulnérabilités dans son produit Automate, dont une classée critique. ️ ConnectWise corrige deux failles critiques dans Automate exposant les communications à l’interception L’éditeur ConnectWise a publié une mise à jour de sécurité pour son outil Automate, une plateforme de supervision et de gestion à distance (RMM) utilisée par les MSP et services informatiques d’entreprises. Deux vulnérabilités, dont une jugée critique (CVE-2025-11492, score 9.6), pouvaient permettre l’interception ou la modification de communications sensibles. ...

Selon BleepingComputer, F5 a publié des mises à jour de sécurité destinées à corriger des vulnérabilités affectant BIG‑IP, après que ces failles ont été volées lors d’une intrusion détectée le 9 août 2025. 🔒 F5 publie des correctifs de sécurité après le vol de failles BIG-IP La société de cybersécurité F5 a publié des mises à jour pour corriger 44 vulnérabilités, dont certaines avaient été dérobées lors d’une cyberattaque détectée le 9 août 2025. L’entreprise a confirmé que des hackers soutenus par un État ont accédé à ses systèmes et volé du code source ainsi que des informations sur des failles de sécurité non divulguées affectant les produits BIG-IP. ...

Source: BleepingComputer — Dans le cadre du Patch Tuesday d’octobre 2025, Microsoft a diffusé des mises à jour de sécurité corrigeant un total de 172 vulnérabilités, incluant six failles zero-day. 🛡️ Mise à jour majeure: 172 vulnérabilités corrigées. ⚠️ Criticité notable: 6 zero-day incluses dans ce lot de correctifs. L’annonce met l’accent sur l’ampleur du lot de correctifs mensuels et signale la présence de plusieurs failles de type zero-day, soulignant l’importance de ce cycle de mises à jour. ...

Selon BleepingComputer Source : BleepingComputer (Sergiu Gatlan), Oracle a publié ce week-end une mise à jour de sécurité d’urgence pour corriger une vulnérabilité affectant Oracle E‑Business Suite (EBS). Oracle a diffusé ce week-end un correctif de sécurité d’urgence pour une nouvelle vulnérabilité critique affectant sa suite E-Business Suite (EBS), pouvant être exploitée à distance sans authentification. La faille, identifiée sous le code CVE-2025-61884, touche les versions 12.2.3 à 12.2.14 du composant Runtime UI et permettrait à des attaquants non authentifiés de voler des données sensibles via Internet. ...

Selon un avis de sécurité publié par CrowdStrike (crowdstrike.com), l’éditeur a diffusé des correctifs pour deux vulnérabilités affectant le Falcon Sensor pour Windows, pouvant permettre à un attaquant ayant déjà la capacité d’exécuter du code de supprimer des fichiers de manière arbitraire. • Vulnérabilités et sévérité: CVE-2025-42701 (Race Condition/TOCTOU) — Score CVSS 5.6 (Medium). CVE-2025-42706 (Logic Error) — Score CVSS 6.5 (Medium). Ces failles peuvent entraîner des problèmes de stabilité ou de fonctionnalité du capteur Falcon pour Windows, ou d’autres logiciels du système, y compris l’OS. • Produits concernés et exclusions: ...

Selon OpenSSL (Security Advisory du 30 septembre 2025), trois vulnérabilités ont été divulguées avec leurs correctifs et versions affectées. L’avis couvre des impacts potentiels de déni de service, corruption mémoire et récupération de clé privée, ainsi que les versions corrigées recommandées. • CVE-2025-9230 — Lecture/écriture hors limites dans le déballage RFC 3211 KEK (CMS PWRI) Sévérité: Modérée. Résumé: Une application qui tente de déchiffrer des messages CMS chiffrés avec un mot de passe (PWRI) peut provoquer une lecture et écriture hors limites, causant crash (DoS) ou corruption mémoire pouvant aller jusqu’à l’exécution de code. Contexte: L’exploitation est jugée probable faible et PWRI est très rarement utilisé. Portée: OpenSSL 3.5, 3.4, 3.3, 3.2, 3.0, 1.1.1, 1.0.2 vulnérables. Les modules FIPS (3.5 à 3.0) ne sont pas affectés (CMS hors périmètre FIPS). Versions corrigées: 3.5.4, 3.4.3, 3.3.5, 3.2.6, 3.0.18; 1.1.1zd et 1.0.2zm (clients support premium). Crédits: Signalé par Stanislav Fort (Aisle Research); correctif par Stanislav Fort et Viktor Dukhovni. • CVE-2025-9231 — Canal auxiliaire temporel dans l’algorithme SM2 sur ARM 64 bits 🕒 ...

Selon BleepingComputer, Broadcom a corrigé une vulnérabilité d’élévation de privilèges de gravité élevée affectant VMware Aria Operations et VMware Tools, qui faisait l’objet d’exploits zero‑day depuis octobre 2024. Broadcom a corrigé une vulnérabilité d’élévation de privilèges locale critique (CVE-2025-41244) dans VMware Aria Operations et VMware Tools, exploitée comme zero-day depuis octobre 2024 par le groupe chinois UNC5174. Cette faille permet à un utilisateur local non privilégié d’exécuter du code avec des privilèges root en plaçant un binaire malveillant dans des chemins accessibles en écriture (notamment /tmp/httpd), exploité ensuite par les mécanismes de découverte de services VMware via des expressions régulières trop larges. ...