Comme chaque deuxième mardi de chaque mois, Microsoft a publié hier soir les correctifs pour les Windows encore supportés. Dans le cas de Windows 7, ce sont les derniers, le système devant être considéré comme à l’abandon pour la grande majorité des utilisateurs.

Pour Windows 7 et 8.1, les correctifs de sécurité s’appliquent aux composants Scripting Engine, Windows Input and Composition, Windows Storage and Filesystems et Windows Server. Sous Windows 8.1, Microsoft règle également un souci lié à la nouvelle règle des cookies SameSite de Chrome 80.

Sous Windows 10 cependant, le programme est plus touffu. En plus des éléments déjà cités, il faut ajouter un renforcement de la sécurité autour de l’enregistrement et la gestion des fichiers, dans la manière dont le système gère les périphériques d’entrée (souris, clavier…), ainsi que des correctifs dans les composants Windows Management et Windows Cryptography.

La faille dans ce dernier est particulièrement importante. Elle a été signalée par la NSA, l’agence se retrouvant pour la première fois créditée par Microsoft. La vulnérabilité (CVE-2020-0601) réside dans la bibliothèque Crypt32.dll, plus particulièrement dans la manière dont elle gère les certificats Elliptic Curve Cryptography (ECC).

Exploitée, la faille pourrait permettre à une machine de s’authentifier sur un réseau dont elle serait normalement rejetée, sans parler des multiples retombées sur Internet Explorer et Edge (ancien et nouveau), ainsi que de très nombreuses applications tierces.

Des pirates pourraient également exploiter la faille pour rendre un code « sûr » avec une fausse signature, ouvrant de larges portes d’entrée aux malwares. Le problème touche aussi Windows Server 2016 et 2019.

Il est recommandé d’installer les mises à jour au plus vite. Notez que ce correctif a fait l’objet d’une publication anticipée pour les infrastructures critiques (notamment militaires).

Il semble que la NSA n'ait pas exploité la faille. Anne Neuberger, à la tête du Cybersecurity Directorate, a rappelé que lorsqu'une faille aussi grave est détectée, l'agence se tourne immédiatement vers l'éditeur concerné.