Microsoft corrige quatre failles critiques, dont une déjà exploitée activement

Les mises à jour de sécurité ne concernent pas seulement les ordinateurs sous Windows. Elles touchent aussi les services cloud, les outils de gestion et les applications professionnelles que les entreprises utilisent quotidiennement. Microsoft vient ainsi de corriger quatre vulnérabilités dans Partner Center, Copilot Studio, Azure PolicyWatch et Dynamics 365 Sales. Parmi elles, CVE-2024-49035 retient particulièrement l’attention : Microsoft indique qu’elle était déjà exploitée dans des attaques au moment de la publication de son correctif.

Cette situation rappelle une règle fondamentale de la cybersécurité : une vulnérabilité corrigée n’est pas nécessairement un risque disparu. Lorsqu’une faille est connue pour avoir été exploitée, les équipes informatiques doivent vérifier rapidement si leur environnement est concerné, si les protections sont bien déployées et si les applications qui exigent une mise à jour manuelle ont effectivement été actualisées.

Une faille déjà exploitée dans Microsoft Partner Center

La vulnérabilité CVE-2024-49035 affecte Microsoft Partner Center, la plateforme destinée notamment aux partenaires de Microsoft pour administrer des clients, des abonnements et certains services. Elle est évaluée à 8,7 sur 10 sur l’échelle de sévérité communément employée pour les vulnérabilités, le CVSS.

Le défaut est décrit comme une faille de montée de privilèges. En sécurité informatique, cette expression désigne une situation dans laquelle une personne disposant initialement de droits limités parvient à obtenir des autorisations plus étendues. Dans un environnement professionnel, un tel scénario peut être particulièrement préoccupant : des privilèges accrus peuvent ouvrir l’accès à des ressources, à des paramètres ou à des données qui auraient dû rester protégés.

Microsoft n’a pas rendu publics les détails des méthodes utilisées dans les attaques observées. Cette retenue est habituelle lorsqu’un défaut est susceptible d’être encore exploité : publier un mode d’emploi trop précis pourrait faciliter le travail d’autres attaquants. Le point essentiel pour les organisations est donc moins de reproduire l’attaque que de s’assurer que les mesures correctives sont effectives.

Les quatre vulnérabilités corrigées par Microsoft

Les correctifs annoncés ne concernent pas un seul produit. Ils couvrent quatre services Microsoft qui n’ont pas le même rôle, ni le même mode de déploiement. Ce tableau résume les informations essentielles disponibles à la date de publication.

La note CVSS donne un repère utile, mais elle ne suffit pas à elle seule à déterminer l’urgence concrète pour chaque entreprise. Une faille très sévère dans un service qui n’est pas utilisé ne présente pas le même niveau d’exposition qu’une vulnérabilité moins bien notée dans une application employée chaque jour par des milliers de collaborateurs. Il faut donc croiser la gravité annoncée avec l’inventaire réel des outils déployés.

Copilot Studio, Azure PolicyWatch et Dynamics 365 Sales concernés

La vulnérabilité CVE-2024-49038, dans Copilot Studio, est la plus élevée des quatre avec une note de 9,3 sur 10. Elle relève du cross-site scripting, plus couramment appelé XSS. Ce type de vulnérabilité peut permettre l’injection de contenu malveillant dans une page ou une application web, puis son exécution dans le navigateur d’une victime. Selon les circonstances, une attaque XSS peut servir à tromper l’utilisateur, à détourner une session ou à interagir avec une application en son nom.

Copilot Studio est l’environnement de Microsoft destiné à créer et personnaliser des assistants conversationnels. Sa présence dans cette liste illustre une réalité importante : les outils liés à l’intelligence artificielle ne sont pas séparés du reste du système d’information. Ils reposent sur des interfaces web, des identités, des connexions à des données et des autorisations. Ils doivent donc être administrés avec le même niveau d’exigence que les autres applications d’entreprise.

La faille CVE-2024-49052 concerne pour sa part Microsoft Azure PolicyWatch. Elle est notée 8,2 sur 10 et est liée à un problème d’authentification manquante. L’authentification permet de vérifier qui accède à un service ou à une fonction. Lorsqu’elle fait défaut à un endroit où elle devrait être imposée, un attaquant peut tenter de contourner les contrôles d’accès. Microsoft indique que les deux vulnérabilités les plus sévères, celles de Copilot Studio et d’Azure PolicyWatch, pouvaient potentiellement conduire à une escalade des privilèges réseau.

Enfin, CVE-2024-49053 touche Dynamics 365 Sales, l’outil de gestion de la relation client de Microsoft. Avec un score de 7,6 sur 10, elle est qualifiée de vulnérabilité d’usurpation. Le risque évoqué est celui d’URL malveillantes pouvant rediriger les utilisateurs vers des sites contrôlés par un attaquant. Ce type de scénario s’appuie souvent sur la confiance accordée à un outil professionnel connu : un lien paraît légitime parce qu’il provient d’un environnement de travail, alors qu’il conduit en réalité vers une page frauduleuse.

Pourquoi une mise à jour peut rester nécessaire sur mobile

Les services cloud permettent à Microsoft d’appliquer un grand nombre de correctifs directement dans son infrastructure. Pour les clients, cela réduit considérablement la charge de maintenance par rapport à un logiciel installé sur chaque poste. Mais cette automatisation ne couvre pas toujours les applications qui s’exécutent sur les téléphones et les tablettes.

Dans le cas de CVE-2024-49053, Microsoft recommande aux utilisateurs de Dynamics 365 Sales sur Android et iOS de mettre à jour l’application vers la version 3.24104.15. Une entreprise peut donc avoir bénéficié des protections appliquées côté service, tout en gardant un point faible si des terminaux mobiles utilisent une version obsolète de l’application.

Une mise à jour mobile peut sembler anodine. Pourtant, dans les organisations où les commerciaux, responsables de compte ou cadres consultent leur outil de relation client depuis l’extérieur, ces terminaux font partie intégrante du périmètre de sécurité. Le suivi des versions installées et l’application rapide des correctifs mobiles doivent donc figurer dans les procédures habituelles de l’entreprise.

Comment évaluer son exposition sans être spécialiste

Pour une personne ou une petite structure, la démarche la plus simple consiste d’abord à identifier les produits effectivement utilisés. Partner Center s’adresse principalement aux partenaires Microsoft. Azure PolicyWatch relève d’un usage cloud spécialisé. Copilot Studio concerne les organisations qui conçoivent des assistants, tandis que Dynamics 365 Sales est destiné aux équipes commerciales et à la gestion de clients. Toutes les entreprises ne sont donc pas concernées par toutes les références CVE citées.

Une fois les usages recensés, plusieurs vérifications sont utiles :

• contrôler que les mises à jour automatiques sont activées sur les smartphones et tablettes ;
• vérifier la version de Dynamics 365 Sales si l’application est utilisée sur Android ou iOS ;
• demander à l’administrateur informatique ou au prestataire si les services Microsoft concernés font partie du parc ;
• consulter les alertes et recommandations de sécurité communiquées par l’éditeur ;
• rappeler aux collaborateurs qu’un lien inhabituel, même reçu dans un contexte professionnel, mérite d’être vérifié avant d’être ouvert.

Il est également prudent de ne pas confondre une faille dans un produit Microsoft avec une compromission automatique de tous les comptes Microsoft. Une vulnérabilité vise un composant donné et suppose des conditions d’exploitation particulières. En revanche, les conséquences peuvent devenir importantes lorsque ce composant est connecté à des données sensibles, à des comptes à privilèges élevés ou à d’autres services de l’entreprise.

La vigilance ne se limite pas à l’installation d’un correctif

La correction technique est indispensable, mais elle n’est qu’une partie de la réponse. Une organisation qui apprend l’existence d’une vulnérabilité déjà exploitée doit aussi se demander si elle a les moyens de détecter un comportement anormal. Des accès inattendus, des changements de droits, des redirections suspectes ou des connexions inhabituelles peuvent mériter une vérification, selon les outils et les journaux disponibles.

Pour les administrateurs, la gestion des identités reste un point central. Le principe du moindre privilège consiste à n’attribuer à chaque compte que les droits nécessaires à sa mission. Il limite les dégâts possibles si un compte est compromis ou si une faille permet une montée de privilèges. L’authentification multifacteur, lorsqu’elle est disponible, apporte aussi une couche de protection supplémentaire contre l’usage abusif d’identifiants volés.

La sensibilisation des équipes conserve enfin son importance. Dans le cas d’un risque d’usurpation lié à des URL, la prudence face aux liens et aux écrans de connexion est décisive. Aucune technologie ne peut totalement compenser une validation précipitée d’une page frauduleuse par un utilisateur disposant de droits importants.

Ce qu’il faut surveiller

Ces quatre corrections montrent que la surface d’attaque des entreprises s’étend désormais bien au-delà du poste de travail traditionnel. Les plateformes de partenaires, les outils d’IA, les services cloud de gouvernance et les applications commerciales mobiles sont tous susceptibles de devenir des cibles. Leur point commun est l’accès à des identités, à des autorisations ou à des données utiles.

La priorité immédiate est claire pour les utilisateurs de Dynamics 365 Sales sur mobile : installer la version 3.24104.15 recommandée par Microsoft. Pour les autres services concernés, les organisations ont intérêt à confirmer auprès de leurs administrateurs que les correctifs cloud ont bien été pris en compte et à examiner leur niveau d’exposition.

À plus long terme, l’enjeu est d’intégrer les outils d’IA et les services SaaS dans la même discipline de sécurité que les logiciels historiques : inventaire précis, gestion des accès, surveillance et mises à jour régulières. Une vulnérabilité corrigée rapidement est une bonne nouvelle. Mais elle ne protège efficacement que si l’entreprise sait quels services elle utilise, qui y accède et quelles actions restent à sa charge.