Risque(s)

• Atteinte à la confidentialité des données
• Exécution de code à distance
• Usurpation d'identité
• Élévation de privilèges

Systèmes affectés

• @azure/ms-rest-nodeauth
• Azure DevOps Server 2019 Update 1
• Azure DevOps Server 2019 Update 1.1
• Azure DevOps Server 2019.0.1
• Azure DevOps Server 2020
• Azure DevOps

Server 2020.0.1

Azure Sphere

Microsoft 365 Apps pour Enterprise pour 64 bits Systems

Microsoft 365 Apps pour Enterprise pour systèmes 32 bits

Microsoft Exchange Server 2013 Cumulative Update 23

Microsoft Exchange Server 2016 Cumulative Update 19

Microsoft Exchange Server 2016 Cumulative Update 20

Microsoft Exchange Server 2019 Cumulative Update 8

Microsoft Exchange Server 2019 Cumulative Update 9

Microsoft Visual Studio 2015 Update 3

Microsoft Visual Studio 2017 version 15.9 (includes 15.0 - 15.8)

Microsoft Visual Studio 2019 version 16.4 (includes 16.0 - 16.3)

Microsoft Visual Studio 2019 version 16.7 (includes 16.0 – 16.6)

Microsoft Visual Studio 2019 version 16.9 (includes 16.0 - 16.8)

Raw Image Extension

Team Foundation Server 2015 Update 4.2

Team Foundation Server 2017 Update 3.1

Team Foundation Server 2018 Update 1.2

Team Foundation Server 2018 Update 3.2

VP9 Video Extensions

Visual Studio Code

Visual Studio Code - GitHub Pull Requests and Issues Extension

Visual Studio Code - Kubernetes Tools

Visual Studio Code - Maven pour Java Extension

Résumé

De multiples vulnérabilités ont été corrigées dans les produits Microsoft. Elles permettent à un attaquant de provoquer une atteinte à la confidentialité des données, une exécution de code à distance, une usurpation d'identité et une élévation de privilèges.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Microsoft du 13 avril 2021
  https://portal.msrc.microsoft.com/fr-FR/security-guidance
• Référence CVE CVE-2021-28483
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28483
• Référence CVE CVE-2021-28482
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28482
• Référence CVE CVE-2021-28481
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28481
• Référence CVE CVE-2021-28480
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28480
• Référence CVE CVE-2021-28457
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28457
• Référence CVE CVE-2021-28456
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28456
• Référence CVE CVE-2021-28322
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28322
• Référence CVE CVE-2021-28321
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28321
• Référence CVE CVE-2021-28313
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28313
• Référence CVE CVE-2021-28452
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28452
• Référence CVE CVE-2021-28451
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28451
• Référence CVE CVE-2021-28449
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28449
• Référence CVE CVE-2021-28477
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28477
• Référence CVE CVE-2021-28475
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28475
• Référence CVE CVE-2021-28470
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28470
• Référence CVE CVE-2021-28473
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28473
• Référence CVE CVE-2021-28472
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28472
• Référence CVE CVE-2021-28471
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28471
• Référence CVE CVE-2021-28469
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28469
• Référence CVE CVE-2021-28464
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28464
• Référence CVE CVE-2021-28468
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28468
• Référence CVE CVE-2021-28466
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28466
• Référence CVE CVE-2021-28458
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28458
• Référence CVE CVE-2021-28460
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28460
• Référence CVE CVE-2021-28459
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28459
• Référence CVE CVE-2021-28448
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28448
• Référence CVE CVE-2021-28453
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28453
• Référence CVE CVE-2021-28454
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28454
• Référence CVE CVE-2021-27064
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-27064
• Référence CVE CVE-2021-27067
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-27067