« Tout comme les deux mois précédents, cette nouvelle version de Patch Tuesday est elle aussi conséquente. Aucune des vulnérabilités corrigées ce mois-ci n’a semble-t-il été rendue publique, ni été exploitée à l’état brut.

Deux failles d’exécution de code à distance dans Microsoft Color Management (CVE-2020-1117) et Windows Media Foundation (CVE-2020-1126) pourraient être exploitées en incitant un utilisateur, via des techniques d’ingénierie sociale, à ouvrir une pièce jointe malveillante ou à se rendre sur un site web contenant le code d’exploitation. Une exploitation réussie permettrait à un cybercriminel d’effectuer des actions sur le système en utilisant les mêmes autorisations que l’utilisateur actuel qui a été compromis. Si ce dernier dispose de privilèges administratifs, l’attaquant pourrait alors effectuer diverses actions, telles que l’installation de programmes, la création d’un nouveau compte avec des droits d’utilisateur complets et l’affichage, la modification ou la suppression de données. Cependant, Microsoft classe ces vulnérabilités dans la catégorie "exploitation moins probable", selon leur indice d’exploitabilité.

En outre, trois vulnérabilités d’élévation de privilèges ayant reçu la mention "exploitation plus probable" ont également été corrigées. Il s’agit notamment d’une paire de failles dans Win32k (CVE-2020-1054 et CVE-2020-1143) ainsi que d’une vulnérabilité dans le composant graphique Windows (CVE-2020-1135). Les vulnérabilités d’élévation de privilèges sont utilisées par les cybercriminels une fois qu’ils ont réussi à accéder à un système afin d’exécuter du code sur leurs systèmes cibles avec des privilèges élevés. »