Des vulnérabilités logicielles, il en existe systématiquement. Il est en revanche moins courant de trouver des brèches qui sont déjà activement exploitées. C’est toutefois ce scénario auquel fait face Microsoft avec la bibliothèque Adobe Type Manager — un composant servant à la gestion des fontes de caractères dans ses systèmes d’exploitation (dont Windows 7, 8.1 et 10).
Les failles en question sont au nombre de deux et surviennent « quand la bibliothèque Windows Adobe Type Manager traite de manière incorrecte une police multimaître spécialement conçue (format PostScript Type 1 d’Adobe) », écrit le géant des logiciels dans son bulletin de sécurité. Ces défauts de conception logicielle peuvent servir à une attaque à distance.
Pour y parvenir, la victime peut être poussée « à ouvrir un document spécialement conçu ou à l’afficher dans le volet de visualisation Windows ». Mais d’autres approches peuvent être tentées, prévient la firme de Redmond. Néanmoins, l’exploitation active de ces deux vulnérabilités est aujourd’hui modeste : Microsoft les décrit comme « ciblées » et « limitées », loin, donc, d’une attaque massive et tous azimuts.
En général, Microsoft publie ses correctifs chaque deuxième mardi du mois.
Un patch possible courant avril
À l’heure actuelle, il n’existe aucun correctif prêt à être déployé, mais l’entreprise fournit des pistes pour atténuer les risques d’une attaque contre son poste — des pistes qui sont toutefois assez techniques et seront délicates à mettre en œuvre pour le tout-venant : il est question de manipuler le registre du système et de passer des instructions en lignes de commande.
Par ailleurs, ces mesures ont des effets sur le comportement de Windows. Puisque le souci concerne les polices, Microsoft indique que deux des trois pistes ont pour conséquence soit de ne plus afficher automatiquement les polices OpenType (OTF) dans l’explorateur Windows, soit d’engendrer un problème affichage de polices incorporées au niveau d’applications tierces qui s’en serviraient.
La troisième piste affecte la transmission des requêtes du protocole WebDAV (Web Distributed Authoring and Versioning) du fait de la désactivation du service WebClient. En outre, Microsoft prévient que les services qui dépendent explicitement du service WebClient ne pourront plus démarrer s’il est désactivé et généreront de fait des messages d’erreur.
Microsoft s’emploie à concevoir un correctif. Il pourrait éventuellement être disponible le 14 avril, puisque l’entreprise américaine diffuse généralement — en somme, sauf circonstance exceptionnelle — ses mises à jour le deuxième mardi de chaque mois.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
