Microsoft corrige 63 vulnérabilités, dont deux zero-days exploités activement

Microsoft, mardi, a publié son Patch Tuesday de février 2025, qui traite 63 vulnérabilités de sécurité, dont quatre vulnérabilités zero-day, dont deux sont activement exploitées dans la nature et deux sont des vulnérabilités zero-day exposées publiquement.

Parmi les 63 vulnérabilités, trois sont critiques, 53 sont importantes et une est modérément sévère.

Ces vulnérabilités se sont produites sur différentes plateformes, y compris Windows et les composants Windows, Office et les composants Office, Azure, Visual Studio et les services de bureau à distance.

De plus, les trois vulnérabilités marquées comme « critiques » ont été corrigées dans le Patch Tuesday de février 2025. Toutes étaient des vulnérabilités d’exécution de code à distance (RCE), qui, si elles étaient exploitées, auraient pu permettre à un attaquant d’exécuter du code arbitraire sur l’appareil.

En outre, les deux vulnérabilités zero-day activement exploitées dans la nature que Microsoft a traitées dans la mise à jour du Patch Tuesday de février 2025 sont :

CVE-2025-21391 (CVSS 7.1) – Vulnérabilité d’élévation de privilèges de stockage Windows

Cette vulnérabilité d’élévation de privilèges (EoP) dans le stockage Windows permet à un attaquant local, authentifié, de supprimer des fichiers ciblés sur un système.

« Un attaquant ne pourrait supprimer que des fichiers ciblés sur un système. Cette vulnérabilité ne permet pas la divulgation d’informations confidentielles, mais pourrait permettre à un attaquant de supprimer des données qui pourraient inclure des données rendant le service indisponible », indique l’avis de Microsoft.

Aucun détail sur la manière dont cette vulnérabilité a été exploitée dans des attaques ou qui l’a signalée n’a été révélé.

CVE-2025-21418 (CVSS 7.8) – Vulnérabilité d’élévation de privilèges du pilote de fonction auxiliaire Windows pour WinSock

La deuxième vulnérabilité activement exploitée permet à un attaquant d’exécuter un programme conçu pour obtenir des privilèges SYSTEM dans Windows.

Il reste incertain comment cette vulnérabilité a été exploitée dans des attaques, et Microsoft déclare qu’elle a été divulguée de manière anonyme.

De plus, les deux autres zero-days divulgués publiquement qui ont été corrigés dans la mise à jour du Patch Tuesday de février 2025 sont :

CVE-2025-21194 (CVSS 7.1) – Vulnérabilité de contournement de fonctionnalité de sécurité Microsoft Surface

Selon Microsoft, cette vulnérabilité d’hyperviseur permet aux attaquants de contourner l’UEFI et de compromettre le noyau sécurisé sur les appareils Surface. Elle est probablement liée aux vulnérabilités PixieFail.

« Cette vulnérabilité d’hyperviseur concerne les machines virtuelles au sein d’une interface de firmware extensible unifiée (UEFI). Sur certains matériels spécifiques, il pourrait être possible de contourner l’UEFI, ce qui pourrait conduire à la compromission de l’hyperviseur et du noyau sécurisé », explique l’avis de Microsoft.

Le géant technologique a crédité Francisco Falcón et Iván Arce de Quarkslab pour la découverte et le signalement de la vulnérabilité.

CVE-2025-21377 (CVSS 6.5) – Vulnérabilité de spoofing de divulgation de hachage NTLM

Cette vulnérabilité expose les hachages NTLM d’un utilisateur Windows, ce qui permet à un attaquant distant de voler les hachages d’utilisateur Windows via une interaction minimale avec un fichier et potentiellement de se connecter en tant qu’utilisateur.

« Une interaction minimale avec un fichier malveillant par un utilisateur, comme sélectionner (clic simple), inspecter (clic droit) ou effectuer une action autre qu’ouvrir ou exécuter le fichier, pourrait déclencher cette vulnérabilité », explique l’avis de Microsoft.

Microsoft a crédité la découverte de cette vulnérabilité à Owen Cheung, Ivan Sheung et Vincent Yau de Cathay Pacific, Yorick Koster de Securify B.V., et Blaz Satler de 0patch par ACROS Security.

Pour installer la mise à jour de sécurité du Patch Tuesday de février 2025, allez dans Paramètres > Mise à jour et sécurité > Mise à jour Windows et cliquez sur le bouton Vérifier les mises à jour.

Vous pouvez également consulter la liste complète des vulnérabilités traitées par Microsoft dans les mises à jour de sécurité du Patch Tuesday de février 2025 ici.