Sécurité IT : une faille critique met Windows à nu

Dans une alerte datée du 4 janvier, Microsoft prévient ses utilisateurs de l’existence d’une faille de type « zero day » qui affecte Windows, note Silicon.fr.

Celle vulnérabilité touche plus particulièrement Windows Graphics Rendering Engine, le moteur de rendu graphique du système. Seuls Windows Vista, Server 2003, et XP sont affectés par cette vulnérabilité. Windows 7 et Server 2008 R2 seraient épargnés, selon l’éditeur américain.

Cette brèche de sécurité, désormais publique, peut être considérée comme critique puisqu’elle permet à un attaquant de lancer du code à distance.

Comme souvent, l’exploitation de cette faille nécessite que la victime visite une page Web spécialement conçue. Ou encore qu’elle ouvre un fichier Word ou PowerPoint dédié, ce qui est déjà potentiellement plus risqué. Les utilisateurs avec des droits restreints seront cependant moins affectés que ceux travaillant en mode administrateur.

« Nous n’avons pas connaissance d’utilisateurs affecté, ni d’aucune tentative d’attaque », déclare l’équipe du centre de sécurité de Microsoft (MSRC). Pour l’heure, il n’existe pas de correctif.

En conséquence, Microsoft a mis sur le qui-vive ses 70 partenaires du programme de protection (dont non nombre d’éditeurs d’anti-virus) pour tenter de repérer les menaces en ligne et prendre les mesures nécessaires face aux sites malicieux qui tenteraient d’exploiter la faille.

Car pour le moment, la firme de Redmond n’a pas l’intention de diffuser un correctif d’urgence tout en déclarant surveiller de près l’évolution de la situation. Il faudra donc s’en tenir, au mieux, au prochain bulletin de sécurité programmé pour le 11 janvier ou, plus probablement attendre le 9 février pour boucher cette brèche.

Pour sécuriser au mieux Windows, au-delà des conseils de bon sens (ne pas visiter de pages Web à l’aveugle, ne pas ouvrir de fichiers à l’origine inconnue, disposer d’un anti-virus, etc.), Microsoft invite les administrateurs à modifier la liste des contrôle d’accès (Access Control List) depuis le fichier shimgvw.dll. Tous les détails sur la page du site TechNet de l’éditeur (partie Workarounds).