Microsoft a récemment corrigé de nombreuses failles zero-day, dont CVE-2018-8611 (corrigée ce mois-ci), ainsi que CVE-2018-8589 et CVE-2018-8589 datant du mois de novembre dernier.
À présent, il a sorti un correctif d’urgence pour une vulnérabilité zero-day de type RCE (Remote Code Execution) dans le moteur de script Jscript d’Internet Explorer qui concerne toutes les versions de Windows, y compris Windows 10.
Identifiée par CVE-2018-8653, cette vulnérabilité zero-day a été signalée par Clement Lecigne, chercheur au Threat Analysis Group de Google. Selon Microsoft, elle est actuellement utilisée dans des attaques ciblées.
L’entreprise n’a pas précisé quelles attaques étaient concernées, mais le fait que cette vulnérabilité zero-day soit exploitée explique pourquoi l’installation du correctif de Microsoft doit être une priorité absolue.
Selon Microsoft :
Dans le cas d’un scénario de type attaque web, un attaquant pourrait héberger un site web spécialement conçu pour exploiter cette vulnérabilité zero-day via Internet Explorer, puis inciter un utilisateur à consulter ce site web, par exemple en envoyant un courrier électronique.
L’exploitation d’une telle faille dépend du niveau de privilège de l’utilisateur ciblé. Selon les derniers conseils de Microsoft, les administrateurs devraient envisager de limiter l’accès à Jscript.dll s’ils ne prévoient pas d’installer le correctif prochainement.
Sur les systèmes serveur (Server 2008, Server 2012, Server 2016, Server 2019), l’indice de gravité passe de “critique” à “modéré” grâce à une restriction appelée Enhanced Security Configuration.
Windows 10 n’est pas épargné
Parcourez les conseils de Microsoft et vous remarquerez que le correctif est également proposé comme mise à jour d’IE 11 pour Windows 10.
Mais attendez, Windows 10 n’a-t-il pas remplacé IE par le navigateur Edge qui utilise un moteur de script différent, Chakra ?
En effet, mais pour des raisons de compatibilité avec les versions antérieures, les composants IE font partie intégrante et sont présents donc par défaut dans toutes les versions de Windows (à l’exception possible de Windows 10 Pro Long Term Service Branch (LTSB), une version Windows personnalisable utilisée par les grandes entreprises).
Ainsi, même si vous n’utilisez pas IE 11, ou un navigateur Microsoft, des éléments de celui-ci se cachent sur tous les systèmes Windows, probablement au cas où des applications ou des sites web Microsoft, plus anciens, auraient besoin de les utiliser.
Windows 10 : un nouveau départ ! Cela a été depuis toujours la philosophie de Microsoft en matière de système d’exploitation : éviter les règles strictes et accorder la priorité à la compatibilité avec les versions antérieures.
Quoi faire ?
Installez le patch. Pour les utilisateurs de Windows 10 utilisant Windows 10 64 bits 1803 (avril 2018), la mise à jour est KB4483234.
Les utilisateurs qui ont réussi à passer à la version très tardive de Windows 10 64 bits 1809 (octobre 2018) doivent rechercher KB4483235.
Pour tous ceux qui utilisent encore Windows 10 64 bits 1709 (octobre 2017), il s’agit de KB4483232.
Pour les versions plus anciennes, Windows 8.1 pour les systèmes x64 et Windows 7 pour les systèmes x64 Service Pack 1, il s’agit de KB4483187.
30% de réduction sur Sophos Home Premium
Sophos veut que vos vacances se déroulent sans stress. Cela signifie pas d’identifiants volés, de ransomwares, de piratages, d’espionnages ou de malwares. C’est pourquoi Sophos propose une réduction de 30% sur Sophos Home Premium. Avec Sophos Home sécurisant jusqu’à 10 Mac ou PC au sein de votre famille, vous pouvez protéger tout le monde.
Et j’espère que vous pourrez profiter des délices de Noël sans avoir à vous précipiter pour sauver Oncle Barry, tout juste victime d’un ransomware qu’il vient d’installer malgré lui avec cette nouvelle carte de vœux électronique !
Billet inspiré de Update now! Microsoft patches another zero-day flaw, sur Sophos nakedsecurity.
Qu’en pensez-vous ? Laissez un commentaire.