Patch Tuesday juin 2023 : la mise à jour qui peut casser Windows… et Office !

Disponible depuis le 15 juin, le dernier Patch Tuesday corrige pléthore de bugs et de failles de sécurité dans les logiciels Microsoft. Mais il peut également causer de gros problèmes avec Windows et la suite Office !

Le 15 juin 2023, Microsoft a déployé son fameux Patch Tuesday, cet ensemble de correctifs que l'éditeur publie le deuxième mardi de chaque mois, pour réparer des bugs, mais aussi, et surtout, combler des failles de sécurité récemment identifiées et, parfois, déjà exploitées par des hackers. La dernière livraison n'a pas échappé à la règle, en cumulant quelque 78 correctifs dont 6 colmatent des brèches qualifiées de critiques. Rien d'inhabituel au regard du passé. Pour autant, le Patch Tuesday de juin se différencie des précédents sur plusieurs détails. Et notamment le fait qu'il peut engendre lui-même un problème de stabilité, comme Microsoft l'a reconnu officiellement juste après sa diffusion. Pire encore, il peut tout simplement empêcher les applications Office de se lancer ! Rien que ça !

Comme toujours pour Windows, le Patch Tuesday se traduit par l'installation d'une "mise à jour cumulative" matérialisée par une nouvelle version du système, les fameuses KBxxxxx avec des déclinaisons pour chacune des versions de Windows : à savoir, KB5027215 pour Windows 10 21H2 et 22H2, KB5027223 pour Windows 11 et KB5027231 pour Windows 11 22H2 (voir notre article sur les Builds et les KB). Passons sur les innombrables failles aux références toujours aussi poétiques corrigées par Microsoft (CVE-2023-32013, CVE-2023-32015, CVE-2023-32014, CVE-2023-29363, CVE-2023-32015, CVE-2023-32014 et CVE-2023-29363...), dont la nature et les risques qu'ils font courir n'intéresseront que les experts en sécurité.

Le plus important à noter, et pour tous les utilisateurs cette fois, c'est que ces mises à jour ne s'effectuent pas toujours sans douleur. Qu'il s'agisse de Windows 10 ou de Windows 11, plusieurs internautes ont signalé que l'installation était problématique via Windows Update, avec un processus très long voire tout simplement bloqué. Certains oint même noté une opération interminable de nettoyage après redémarrage du PC, aboutissant parfois à une retour à la case départ, sans installation de la mise à jour. Seule solution évoquée, en attendant que Microsoft ne trouve un remède officiel, la désinstallation de la mise à jour (voir notre fiche pratique)… même si elle n'a pas abouti ! Et pour certains utilisateurs, la mise à jour fait planter Google Chrome à cause de MalwareBytes, le célèbre outil de sécurité.

Patch Tuesday juin 2023 : un correctif désactivé par défaut

Plus étonnant et plus gênant encore, il semblerait que l'un des correctifs inclus dans le Patch Tuesday entraine un bug fatal dans le noyau de Windows (10 et 11), le cœur même du système d'exploitation. Ce patch visait à l'origine à colmater la vulnérabilité CVE-2023-32019, une faille potentiellement dangereuse, mais ne constituant pas une menace immédiate pour la plupart des utilisateurs. Selon Microsoft, "Un utilisateur authentifié (attaquant) peut provoquer une vulnérabilité de divulgation d'informations dans le noyau de Windows. Cette vulnérabilité ne nécessite pas de privilèges d'administrateur ou d'autres privilèges élevés. L'attaquant qui réussit à exploiter cette vulnérabilité peut voir la mémoire heap d'un processus à privilège qui s'exécute sur le serveur." Le hic, c'est que le correctif peut lui-même ouvrir une faille, aux dires l'éditeur : "IMPORTANT : le correctif décrit dans cet article introduit une rupture potentielle. Par conséquent, nous publions la modification désactivée par défaut avec l'option de l'activer. Dans une prochaine version, cette résolution sera activée par défaut. Nous vous recommandons de valider cette résolution dans votre environnement. Ensuite, dès qu'elle est validée, activez la résolution dès que possible."

En clair, pour éviter que son correctif fasse plus de mal que de bien en fragilisant le noyau de Windows, Microsoft a préféré désactiver ce patch en attendant de trouver une solution… Et pour ne pas prendre de risque, en reportant la responsabilité sur les utilisateurs eux-mêmes, l'éditeur indique la marche à suivre pour activer ce fameux patch maudit dans les différentes versions de Windows (de Windows 10 1607 à Windows 11 22H2). On croit rêver ! mais il ne faut plus vraiment s'étonner de rien quand on voit dans quel parfait désordre Microsoft fait évoluer Windows ces derniers temps (voir notre coup de gueule)… 

Quoi qu'il en soit, et sans toucher à rien, nous avons pu installer le Patch Tuesday avec la Build 22621.1848 de Windows 11 sur plusieurs PC sans rencontrer le moindre problème. Mieux encore, certains lecteurs nous ont signalé qu'ils avaient ressenti du mieux sur leur PC après l'installation, avec un fonctionnement plus fluide. Dans la mesure où les problèmes signalés ne semblent pas majoritaires, il parait raisonnable d'appliquer le Patch Tuesday de juin 2023, ne serait-ce que pour combler les failles repérées.

Patch Tuesday juin 2023 : un problème avec Office

Comme si ce petit souci n'était pas déjà suffisant, Microsoft a reconnu un autre problème bien plus important. "Après avoir installé KB5027231 ou des mises à jour ultérieures sur des appareils Windows avec certains logiciels antivirus, antimalware ou de sécurité installés, vous ne pourrez peut-être pas ouvrir les applications Microsoft ou des applications tierces. Certaines applications affectées connues sont Microsoft Outlook et d'autres applications Microsoft Office", explique l'éditeur dans un récent rapport. En clair, l'installation de la mise à jour pour Windows empêche tout simplement l'ouverture de diverses applications, en particulier celles de la suite Office. Oups ! Pour autant, selon Microsoft, ce problème ne toucherait que certains utilisateurs professionnels, sous Windows 11 21H2 ou 22H2, Windows 10 21H2 ou 22H2, ou Windows Server 2022 en version 64 bits, et avec l'antivirus Trellix Endpoint Security dans une certaine version " Ce problème n'est pas susceptible d'être rencontré par les consommateurs utilisant des appareils Windows à la maison", assure l'éditeur. On respire un peu !

Enfin, pour conclure sur le grand bal des évolutions, signalons que Microsoft a annoncé que la mise à jour Moment 3 pour Windows 11, qui apporte plusieurs petites améliorations (voir notre article) s'installera automatiquement sur tous les PC compatibles dès le mois de juillet, alors qu'elle est encore facultative. Vous suivez toujours ? Bravo !