Microsoft publie mardi un correctif de sécurité pour corriger une faille majeure dans le système d’exploitation Windows. Bien que Microsoft affirme n’avoir vu aucune preuve que le problème a été exploité dans la nature, il pourrait permettre à un attaquant de “décrypter des informations confidentielles”.

Pourquoi c’est important: La faille représente une vulnérabilité importante et a été remise à Microsoft par la National Security Agency. Dans le passé, la NSA a gardé certaines failles de Windows pour l’utiliser à ses propres fins.

Prochaine étape: Microsoft a confirmé les détails de la faille et la publication du correctif, ajoutant que son logiciel de sécurité peut détecter et bloquer les logiciels malveillants tentant d’utiliser cette vulnérabilité. Il affecte les versions de Windows 10 ainsi que les versions 2016 et 2019 de Windows Server, mais pas Windows 7, Windows 8 ou les versions antérieures.

  • “Nous n’avons vu aucune preuve que cette technique a été utilisée dans la nature”, a déclaré Microsoft. “Comme toujours, nous encourageons les clients à installer toutes les mises à jour de sécurité dès que possible.”

La vulnérabilité a été classée «importante», la deuxième note la plus élevée de Microsoft, car elle implique une interaction utilisateur à exploiter. (Les failles critiques peuvent être exploitées sans interaction de l’utilisateur.)

Krebs on Security, qui a signalé l’existence du correctif lundi soir, l’a décrit comme “une vulnérabilité de sécurité extrêmement grave dans un composant cryptographique de base”.

  • De plus, selon Krebs, Microsoft a déjà fourni un correctif pour le bogue à l’armée américaine et à d’autres clients clés et cibles potentielles, telles que les sociétés qui gèrent l’infrastructure Internet. Ces entreprises ont dû accepter de ne pas divulguer les détails de la vulnérabilité.

Dans un communiqué, Microsoft a déclaré qu’il ne publie pas de mises à jour prêtes pour la production avant son calendrier régulier de mise à jour du mardi, mais qu’il fournit des versions avancées aux partenaires “à des fins de validation et de test d’interopérabilité dans les environnements de laboratoire”. Ceux qui obtiennent les versions avancées ne sont pas censés les utiliser pour des machines de production.

Ce qu’ils disent: l’expert en sécurité de longue date Dan Kaminsky, scientifique en chef de White Ops, a déclaré que la faille était un gros problème, malgré la note moins que critique attribuée par Microsoft.

  • Il arrive que certains bogues soient «sur-typés». Pas celui-ci. Une faille ici s’expose sur les surfaces d’attaque sensibles sur l’ensemble de la plate-forme Windows, de manière subtile qui sont difficiles à prévoir et – de manière critique – serait très fiable. Absolument la vraie affaire, corrigez-la immédiatement. “