Les utilisateurs de Windows du monde entier doivent être en alerte aujourd’hui, car Microsoft a identifié de nombreuses nouvelles vulnérabilités critiques dans Windows 10, Windows 11 et d’autres systèmes d’exploitation.
Dans une analyse du contenu de son « Patch Tuesday » de janvier 2022, Microsoft a déclaré avoir identifié 97 nouvelles failles de sécurité dans ses systèmes d’exploitation, un chiffre impressionnant.
Six d’entre elles ont été classées dans la catégorie « zero day », ce qui signifie qu’elles sont déjà présentes dans la nature et ont été découvertes par des pirates avant que Microsoft ne réagisse. Toutes les versions de Windows, y compris Windows 7, 8, 10 et 11, ainsi que Windows Server 2019 et 2022, sont touchées.
Les utilisateurs qui effectuent une mise à jour vers cette monstrueuse mise à jour devraient recevoir une alerte rouge. Selon BleepingComputer, elle perturbe les connexions VPN L2TP sur Windows 10 et 11, et crée des problèmes importants sur Windows Server 2019 et 2022.
Microsoft a déjà retiré la mise à jour pour les deux éditions de Windows Server, où BleepingComputer explique que « des bugs critiques ont provoqué le redémarrage des contrôleurs de domaine, le non-fonctionnement d’Hyper-V et l’indisponibilité des systèmes de volumes ReFS. » Hyper-V crée des machines virtuelles tandis que ReFS est le nouveau système de fichiers de Microsoft et est utilisé sur toutes les versions modernes de Windows.
Microsoft n’a pas encore retiré la mise à jour pour Windows 10 et Windows 11, mais les inquiétudes vont grandir. Pour les utilisateurs de Windows Server, il n’y a actuellement aucun calendrier pour la réémission du correctif de janvier.
Compte tenu du nombre de correctifs et de protections importants, dont pas moins de six exploits de type « zero-day« , une pression considérable s’exercera sur Microsoft pour que la mise à jour méga-cumulative soit rééditée. Cela dit, il se pourrait que les utilisateurs de Windows 10 et de Windows 11 subissent d’autres perturbations.
Les antécédents de Microsoft en matière de mises à jour de Windows se sont récemment détériorés, l’entreprise ayant bâclé non pas une mais deux corrections de jour zéro au cours des derniers mois. Comme le chercheur en sécurité Abdelhamid Naceri, qui a découvert l’un des correctifs ratés, a dit aux utilisateurs le mois dernier, « il serait sage d’attendre et de regarder comment Microsoft fout en l’air un autre correctif. » Nous y revoilà.
Microsoft ne donne actuellement pas de détails sur les 97 nouvelles vulnérabilités afin de laisser du temps aux utilisateurs de Windows, mais elle a indiqué lesquelles de ses plates-formes sont désormais vulnérables. Microsoft a attribué le niveau de gravité « Important » à cinq des six menaces de type « zero-day », tandis qu’une autre se voit attribuer le niveau de gravité « Critique » :
- Critique – CVE-2021-22947 – Vulnérabilité à l’exécution de code à distance de l’Open Source Curl.
- Important – CVE-2021-36976 – Vulnérabilité d’exécution de code à distance dans Libarchive.
- Important – CVE-2022-21919 – Vulnérabilité d’élévation de privilège dans le service de profil d’utilisateur de Windows
- Important – CVE-2022-21836 – Vulnérabilité de l’usurpation de certificats Windows
- Important – CVE-2022-21874 – Vulnérabilité d’exécution de code à distance de l’API du Centre de Sécurité de Windows
- Important – CVE-2022-21839 – Déni de service de la vulnérabilité de la liste de contrôle d’accès discrétionnaire du suivi des événements de Windows (limité à Windows 10 et Windows Server 2019)
La bonne nouvelle, c’est que Microsoft déclare ne pas être au courant qu’une de ces vulnérabilités zero-day soit activement exploitée par des pirates pour le moment. Cela pourrait changer à tout moment, puisque la société classe huit autres vulnérabilités découvertes comme » critiques » et 88 comme » importantes « . Par conséquent, l’avertissement aux utilisateurs de Windows ne pourrait être plus explicite.
Ce que vous devez faire
Microsoft a commencé à déployer son Patch Tuesday de janvier 2022 à tous les utilisateurs de Windows, ce qui signifie que si vous avez arrêté les mises à jour de Windows pour une raison quelconque, vous devez le faire immédiatement. Le déploiement se fera par étapes, mais si vous souhaitez vérifier manuellement les mises à jour, allez dans Paramètres > Windows Update > Vérifier les mises à jour.
Au cours des derniers mois, les mises à jour de Windows ont fait l’actualité pour de mauvaises raisons, Microsoft ayant négligé non pas une, mais deux corrections de jour zéro.
En conséquence, le chercheur en sécurité Abdelhamid Naceri, qui a découvert l’un des correctifs manqués, a conseillé cyniquement aux utilisateurs : « vous feriez mieux d’attendre et de voir comment Microsoft va encore bousiller le correctif ». De plus, alors que Microsoft n’a pas produit de mises à jour officielles, l’organisation de sécurité tierce 0patch (« Zero Patch ») a été contrainte d’intervenir à deux reprises avec des remèdes d’urgence.
Ainsi, les utilisateurs de Windows doivent non seulement réagir rapidement aux nouveaux dangers, mais aussi croire que Microsoft a tiré les leçons de ses erreurs précédentes.