Failles majeures Microsoft, des milliards de PC impactés

Microsoft publie un nouvel avis de sécurité avertissant de plusieurs nouvelles failles mettant en danger des milliards de machines sous Windows. Deux vulnérabilités critiques, non corrigées, qui pourraient permettre la prise de contrôle à distance d’ordinateurs.

Les deux failles non corrigées sont utilisées dans des attaques qui semblent, pour le moment, limitées. Les failles affectent toutes les versions de Windows : Windows 10, 8.1 et Server 2008, 2012, 2016 et 2019, ainsi que Windows 7.

Pour rappel, concernant Windows 7, Microsoft ne prend plus en charge cet OS depuis le 14 janvier 2020. Il n’existe pour le moment aucun correctif disponible. Des méthodes de contournement peuvent être appliquées. Les équipes de 8Brains peuvent vous aider à les mettre en place.

Les deux vulnérabilités résident dans la bibliothèque Windows Adobe Type Manager, un logiciel d’analyse des polices. Il analyse le contenu lorsqu’il est ouvert avec un logiciel tiers. Il est également utilisé par l’Explorateur Windows. Ce dernier permet d’afficher le contenu d’un fichier dans le « volet de visualisation » sans que les utilisateurs n’aient besoin de l’ouvrir.

Les vulnérabilités apparaissent dans Microsoft Windows lorsque la bibliothèque Adobe Type Manager « ne gère pas correctement une police spécialement conçue au format PostScript Adobe Type 1« , indique le géant de l’informatique.

Le pirate doit convaincre sa cible d’ouvrir un fichier spécialement conçu ou en le visualisant dans le volet « Aperçu » de Windows.

À l’heure actuelle, bien qu’il ne soit pas clair si les failles peuvent également être déclenchées à distance sur un navigateur Web en convaincant un utilisateur de visiter une page Web contenant des polices OTF malveillantes spécialement conçues, il existe plusieurs autres façons pour un attaquant d’exploiter la vulnérabilité (autres que ces possibilités OTF malveillantes), par exemple via le service client WebDAV (Web Distributed Authoring and Versioning). « La configuration de sécurité renforcée n’atténue pas cette vulnérabilité« . indique Microsoft.

Solutions de contournement proposées par Microsoft.