Une nouvelle violation de la sécurité de Windows pousse Microsoft à publier une mise à jour d'urgence

Microsoft a publié une mise à jour de sécurité d’urgence pour corriger une vulnérabilité dans plusieurs versions de Windows, y compris le prochain Windows 10. La vulnérabilité de sécurité a été mise en évidence par un e-mail découvert après l’attaque de piratage sur le fournisseur de surveillance italien Hacking Team.

Hacking Team est connu pour exposer des vulnérabilités zero-day, les failles dans les logiciels qui sont inconnues du fournisseur. Les failles sont ensuite exploitées par les clients pour injecter discrètement leur logiciel dans la cible. En fait, les chercheurs ont également découvert plusieurs zero-days dans le déluge d’e-mails divulgués depuis le mois dernier.

La mise à jour de l’entreprise, étiquetée MS15-078, a corrigé un défaut dans le rendu des polices OpenType qui est conjointement créé par Adobe et Microsoft. La faille peut être exploitée par des pirates pour détourner les PC, prendre le contrôle complet des programmes et également infuser des logiciels malveillants. Grâce à la vulnérabilité, tout utilisateur qui ouvre un document ou une page web contenant la police OpenType malveillante peut être attaqué.
La société de Redmond a qualifié l’attaque de “critique”, ce qui est ironiquement le plus haut degré de niveau de menace attribué à une vulnérabilité. En revanche, Microsoft a affirmé qu’elle était inconsciente de la violation de sécurité et de toute attaque en cours. La vulnérabilité permettrait aux pirates d’installer des programmes, de manipuler les données et également de créer de nouveaux comptes avec des droits d’utilisateur complets. Tout cela à un moment où Windows 10 atteindra les Windows Insiders le 29 juillet et sera disponible le mois prochain pour les utilisateurs qui ont réservé leur copie gratuite ainsi que pour ceux qui en achètent de nouvelles. Genwei Jiang de FireEye et Mateusz Jurczyk de Google Project Zero ont été les premiers à signaler les vulnérabilités. Un porte-parole de FireEye a déclaré à Computerworld que “CVE-2015-2426 est une vulnérabilité d’exécution de code à distance directe vers le noyau“ et a ajouté que “la vulnérabilité a été divulguée avec la violation de l’e-mail de Hacking Team et le bug se trouvait dans le fichier du pilote de police Adobe Type Manager.” Le fournisseur italien Hacking Team fait face à la colère des autorités après avoir été surpris en train de négocier avec un revendeur tiers dans le but d’exporter son logiciel malveillant vers le Nigeria en contournant les contrôles d’exportation italiens.