En janvier 2022, l’équipe du Threat Labs de CyberArk avait découvert la vulnérabilité CVE-2022-21893 dans Remote Desktop, et l’avait reporté à Microsoft. Cependant, après étude du correctif, nous avons identifié un vecteur d’attaque qui rendant la vulnérabilité encore exploitable sous certaines conditions. Suite à notre signalement, Microsoft a publié une nouvelle mise à jour de sécurité le 12 avril dernier : CVE-2022-24533. Nous allons donc ici nous pencher sur le premier patch : ce qui lui manquait, et comment le nouveau corrige pleinement la vulnérabilité.