Dans une alerte datée du 4 janvier, Microsoft prévient ses utilisateurs de l’existence d’une faille de type « zero day » qui affecte Windows, note Silicon.fr.
Celle vulnérabilité touche plus particulièrement Windows Graphics Rendering Engine, le moteur de rendu graphique du système. Seuls Windows Vista, Server 2003, et XP sont affectés par cette vulnérabilité. Windows 7 et Server 2008 R2 seraient épargnés, selon l’éditeur américain.
Cette brèche de sécurité, désormais publique, peut être considérée comme critique puisqu’elle permet à un attaquant de lancer du code à distance.
Comme souvent, l’exploitation de cette faille nécessite que la victime visite une page Web spécialement conçue. Ou encore qu’elle ouvre un fichier Word ou PowerPoint dédié, ce qui est déjà potentiellement plus risqué. Les utilisateurs avec des droits restreints seront cependant moins affectés que ceux travaillant en mode administrateur.
« Nous n’avons pas connaissance d’utilisateurs affecté, ni d’aucune tentative d’attaque », déclare l’équipe du centre de sécurité de Microsoft (MSRC). Pour l’heure, il n’existe pas de correctif.
En conséquence, Microsoft a mis sur le qui-vive ses 70 partenaires du programme de protection (dont non nombre d’éditeurs d’anti-virus) pour tenter de repérer les menaces en ligne et prendre les mesures nécessaires face aux sites malicieux qui tenteraient d’exploiter la faille.
Car pour le moment, la firme de Redmond n’a pas l’intention de diffuser un correctif d’urgence tout en déclarant surveiller de près l’évolution de la situation. Il faudra donc s’en tenir, au mieux, au prochain bulletin de sécurité programmé pour le 11 janvier ou, plus probablement attendre le 9 février pour boucher cette brèche.
Pour sécuriser au mieux Windows, au-delà des conseils de bon sens (ne pas visiter de pages Web à l’aveugle, ne pas ouvrir de fichiers à l’origine inconnue, disposer d’un anti-virus, etc.), Microsoft invite les administrateurs à modifier la liste des contrôle d’accès (Access Control List) depuis le fichier shimgvw.dll. Tous les détails sur la page du site TechNet de l’éditeur (partie Workarounds).
Quelle part d’incertitude faut-il accepter dans la mise en conformité des IA avec le RGPD…
Microsoft a dévoilé les prix des mises à jour de sécurité étendues pour Windows 10.…
Docaposte a sélectionné une douzaine de spécialistes français pour créer un Pack cybersécurité spécialement étudié…
La Surface Pro 10 sera disponible le 9 avril en France. Passage en revue de…
Que réserve Office 2024 ? Une première version de test officielle sera disponible en avril.…
Microsoft Teams évolue dans une version « unifiée » qui permet de combiner les usages…