Le gouvernement des États-Unis confirme l'avertissement de sécurité Zero-Day du navigateur essentiel pour les utilisateurs de Windows – Bien choisir son serveur d impression

La semaine a été mauvaise pour les utilisateurs de Windows: tout d'abord, la vulnérabilité de chiffrement de la courbe NSA et maintenant la confirmation d'une vulnérabilité de jour zéro qui est activement exploitée sans correction.

Dans la foulée des avertissements de la National Security Agency (NSA) et de la Cybersecurity & Infrastructure Security Agency (CISA) du Département de la sécurité intérieure pour les utilisateurs de Windows 10 à mettre à jour de toute urgence alors que la nouvelle de la vulnérabilité de la crypto courbe est arrivée, nous voici de nouveau. La CISA a publié un nouvel avertissement pour les utilisateurs de Windows, car Microsoft confirme qu'une vulnérabilité critique du jour zéro est activement exploitée et qu'aucun correctif n'est disponible au moment de la rédaction du présent document.

Quelle est la vulnérabilité critique zero-day confirmée par Microsoft?

L'avertissement du CISA National Cyber ​​Awareness System (NCAS) a été émis le 17 janvier et fait référence à un avis de sécurité Microsoft publié plus tôt le même jour. Il est important de noter que cet avis a confirmé que «Microsoft est conscient du nombre limité d'attaques ciblées». Alors, quelle est la vulnérabilité critique du jour zéro qui est déjà exploitée dans la nature?

Microsoft a indiqué qu'une vulnérabilité d'exécution de code à distance (RCE) avait été trouvée dans le moteur de script du navigateur Web Internet Explorer (IE). Il s'agit d'une vulnérabilité critique, affectée comme CVE-2020-0674, qui affecte IE dans toutes les versions de Windows et peut corrompre la mémoire afin qu'un attaquant puisse exécuter du code arbitraire. "Un attaquant qui parviendrait à exploiter la vulnérabilité pourrait obtenir les mêmes droits d'utilisateur que l'utilisateur actuel", a averti Microsoft, "si l'utilisateur actuel est connecté avec des droits d'administrateur, un attaquant qui parviendrait à exploiter la vulnérabilité pourrait prendre le contrôle d'un système affecté" . " Ce qui est à peu près aussi dangereux que possible, car cet attaquant pourrait créer de nouveaux comptes, installer des logiciels malveillants, afficher et modifier des données, etc.

Pour exploiter cette vulnérabilité du jour zéro, un acteur de la menace pourrait utiliser un site Web créé de manière malveillante implémentant JScript comme moteur de script, qui lancerait un exploit si le visiteur utilisait le navigateur Internet Explorer pour le visualiser.

Qui utilise Internet Explorer de nos jours?

Ce n'est donc pas un gros problème, non? Après tout, qui utilise Internet Explorer de nos jours? En fait, selon les dernières statistiques de part de marché des navigateurs Web de Net Marketshare, la réponse est plus de gens que vous ne l'imaginez. Alors que Google Chrome domine le marché avec une part de 67,28%, Internet Explorer avec 7,42% est en troisième position juste derrière Firefox avec 9%. Cela, malgré le fait que Microsoft enfonce efficacement des clous dans le cercueil IE lorsqu'il a choisi Edge comme navigateur par défaut pour Windows 10.

Le problème est que nous savons également que les anciennes versions de Windows restent populaires auprès des consommateurs et des entreprises. Windows 7, par exemple, détient la deuxième plus grande part de marché de tous les systèmes d'exploitation de bureau avec 32,74%, ce qui n'est battu que de 47,65% pour Windows 10. C'est vrai, le Windows 7 désormais non pris en charge que certains experts ont appelé une «haute sécurité folle». risque."

S'il n'y a pas de correctif pour la vulnérabilité zero-day, que puis-je faire?

En ce qui concerne les conseils d'atténuation d'une vulnérabilité sans correction, il y a une chose qui se distingue comme le pouce douloureux proverbial: utilisez un autre navigateur. Bien qu'il soit entendu que la vulnérabilité du jour zéro dans IE est liée au problème critique du jour zéro dans Firefox dont j'ai parlé le 9 janvier, ce dernier a déjà été corrigé. Edge, Chrome et Safari ne sont également pas affectés.

Pour les utilisateurs professionnels qui ne peuvent pas s'éloigner d'une ancienne installation d'Internet Explorer pour des raisons opérationnelles, il existe certains facteurs atténuants. Microsoft conseille que par défaut IE sur Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 et Windows Server 2019 s'exécute "dans un mode restreint appelé Configuration de sécurité renforcée", ce qui réduit la les chances du contenu malveillant que la vulnérabilité dépend du téléchargement.

Sinon, Microsoft signale qu'il est possible de restreindre l'accès à JScript.dll, mais cela pourrait entraîner une réduction des fonctionnalités.

En ce qui concerne un correctif hors limites, cela semble actuellement peu probable, car Microsoft a déclaré que "notre politique standard est de publier des mises à jour de sécurité le mardi de mise à jour, le deuxième mardi de chaque mois. Ce calendrier prévisible permet une assurance qualité des partenaires et une planification informatique, ce qui aide maintenir l'écosystème Windows comme un choix fiable et sécurisé pour nos clients. Microsoft est conscient du nombre limité d'attaques ciblées. "

Conseils d'atténuation pour les utilisateurs de Windows 7 et Server 2008 R2

Mitja Kolsek, PDG du laboratoire de recherche sur la sécurité numérique, Acros, et fondateur du service de micro-correctif 0Patch, m'a contacté pour confirmer la disponibilité d'un correctif temporaire pour le jour zéro CVE-2020-0674. "Windows 7 et Server 2008 R2 peuvent ne jamais obtenir de correctifs officiels pour CVE-2020-0674", a déclaré Kolsek, "dans le cadre de notre programme" adoption de la sécurité ", nous fournissons plutôt ces micro-correctifs." Les micro-correctifs pour Windows 7, Windows Server 2008 R2, Windows 10 et Windows Server 2019 peuvent être trouvés ici pour les utilisateurs de la plateforme.

–

Mis à jour le 22 janvier

Cet article a été mis à jour avec des nouvelles d'un correctif temporaire pour corriger CVE-2020-0674