Microsoft a corrig\u00e9 une faille critique dans Entra ID, son service de gestion des identit\u00e9s et des acc\u00e8s utilis\u00e9 par des millions d\u2019entreprises. La vuln\u00e9rabilit\u00e9 peut permettre \u00e0 un attaquant d\u2019ex\u00e9cuter du code \u00e0 distance sans authentification.<\/p>\n
Microsoft vient de d\u00e9ployer une s\u00e9rie de 22 correctifs de s\u00e9curit\u00e9 pour ses services cloud. Parmi les vuln\u00e9rabilit\u00e9s corrig\u00e9es par l\u2019\u00e9diteur, on trouve une faille critique dans Microsoft Entra ID, \u00e0 savoir le service de gestion des identit\u00e9s et des acc\u00e8s de Microsoft, anciennement appel\u00e9 Azure Active Directory (Azure AD). C\u2019est l\u2019une des briques les plus sensibles de l\u2019\u00e9cosyst\u00e8me Microsoft. Le service sert \u00e0 g\u00e9rer les identit\u00e9s, les connexions, les droits d\u2019acc\u00e8s et les r\u00e8gles de s\u00e9curit\u00e9 des utilisateurs dans Microsoft 365, Azure ou Dynamics 365. Une faille critique dans ce syst\u00e8me est susceptible d\u2019aboutir \u00e0 la compromission d\u2019une montagnee d\u2019applications et de ressources cloud utilis\u00e9es par une entreprise.<\/p>\n
Concr\u00e8tement, la vuln\u00e9rabilit\u00e9 permettait \u00e0 un pirate d\u2019envoyer \u00e0 Entra ID une requ\u00eate volontairement malform\u00e9e, con\u00e7ue express\u00e9ment pour tromper le service. Si l\u2019attaque r\u00e9ussissait, le pirate pouvait alors faire ex\u00e9cuter ses propres instructions sur le syst\u00e8me de Microsoft. L\u2019\u00e9diteur pr\u00e9cise que l\u2019attaquant n\u2019avait pas \u00e0 se connecter avec des identifiants valides avant de tenter son attaque. De plus, Microsoft ajoute que l\u2019offensive n\u2019est pas particuli\u00e8rement complexe. Il n\u2019y a pas besoin d\u2019une longue cha\u00eene d\u2019exploitation technique ou d\u2019un acc\u00e8s interne pour se servir de la vuln\u00e9rabilit\u00e9 \u00e0 mauvais escient.<\/p>\n
A lire aussi\u00a0: un chercheur en guerre contre Microsoft divulgue une nouvelle faille dans l\u2019antivirus Defender<\/a><\/p>\n Une mise \u00e0 jour d\u00e9ploy\u00e9e c\u00f4t\u00e9 serveurs <\/p>\n Dans un premier temps, Microsoft a fait savoir que la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 exploit\u00e9e dans des cyberattaques\u2026 avant de revenir sur ses dires. L\u2019\u00e9diteur a par la suite pr\u00e9cis\u00e9 que la faille n\u2019a pas \u00e9t\u00e9 exploit\u00e9e par des hackers. La vuln\u00e9rabilit\u00e9 reste n\u00e9anmoins particuli\u00e8rement critique. C\u2019est pourquoi Microsoft n\u2019a pas tard\u00e9 \u00e0 d\u00e9ployer un correctif. Celui-ci a \u00e9t\u00e9 appliqu\u00e9 directement c\u00f4t\u00e9 serveurs. Les entreprises n\u2019ont donc aucune mise \u00e0 jour \u00e0 installer pour se prot\u00e9ger.<\/p>\n La s\u00e9rie de correctifs ne se limite pas \u00e0 Entra ID. Dans la foul\u00e9e, Microsoft a \u00e9galement trait\u00e9 plusieurs vuln\u00e9rabilit\u00e9s au sein d\u2019Azure SQL Database, Azure Arc, Exchange Online et Azure Managed Instance for Apache Cassandre. Certaines des d\u00e9faillances permettent une \u00e9l\u00e9vation de privil\u00e8ges \u00e0 distance, tandis qu\u2019une autre autorise l\u2019ex\u00e9cution de code sur les serveurs. L\u00e0 encore, Microsoft a principalement d\u00e9ploy\u00e9 les correctifs c\u00f4t\u00e9 service. Aucune manipulation particuli\u00e8re n\u2019est donc requise.<\/p>\n \ud83d\udc49\ud83c\udffb Suivez l\u2019actualit\u00e9 tech en temps r\u00e9el\u00a0: ajoutez 01net \u00e0 vos sources sur Google<\/a>, et abonnez-vous \u00e0 notre canal WhatsApp<\/a>.<\/p>\n