1 pièce(s) jointe(s)
Google a rendu publique une faille majeure de Windows
Google a rendu publique une faille majeure de Windows
Avant que Microsoft ait publié un correctif de sécurité
Ce lundi 31 octobre, l’équipe de chercheurs en sécurité informatique de Google a rendu publique une vulnérabilité jugée critique dans Windows. Dans un billet de blog, l’équipe a mis en détail les spécificités de ce bogue permettant aux pirates d’échapper aux sandboxes de sécurité grâce à une faille dans le système win32k. Selon les chercheurs, cette faille serait déjà “activement exploitée”.
Cette révélation vient dix jours après que la firme a prévenu Microsoft de l’existence de la vulnérabilité. N’ayant reçu aucune réponse de la part de la firme de Redmond, aucun patch de sécurité pour régler le problème ni même un avertissement aux utilisateurs, Google a décidé d’agir en public et dévoiler l’existence de cette faille. Seul bémol, Google a déjà déployé un correctif pour les utilisateurs de Chrome, tandis que Windows reste vulnérable.
Dans le billet de blog, Google a fourni une description générale du bogue de sécurité, permettant aux utilisateurs d’avoir assez d’informations pour se rendre compte de la gravité des possibles attaques, toutefois les cybercriminels n’auront pas assez de détails pour exploiter la faille. Cette vulnérabilité dépend également d’une autre faille dans Adobe Flash, néanmoins ce dernier a été mis à jour le 26 octobre pour adresser ce problème.
Réaction de Microsoft
L’initiative de Google a naturellement déplu à Microsoft, la firme n’a pas manqué de critiquer l’attitude de Google et a fait savoir que cette divulgation met en danger la sécurité des consommateurs. Ce n’est pas la première fois que les deux géants sont entrés en conflit à cause de la façon avec laquelle le géant de la recherche divulgue les vulnérabilités repérées. En 2013, Google avait informé que si les failles critiques ne sont pas réparées sept jours après leur signalement, de façon privée par la firme, alors l’entreprise se permettra de les rendre publiques. Un délai très court selon les propres termes de Google à l’époque : « Sept jours est un délai très serré, et cela peut être trop court pour que certaines entreprises mettent à jour leurs produits, mais cela devrait suffire pour qu’elles publient des conseils pour limiter les risques. »
Les chercheurs de Google conseillent les utilisateurs de Chrome et de Flash de s’assurer qu’ils sont parfaitement à jour ou de les mettre à jour manuellement le cas échéant. Pour les autres, ils n’ont pas défini des consignes à suivre à part d’attendre la disponibilité d’un correctif de Windows. Microsoft a pour sa part donné pour conseil d’utiliser Windows 10 et son navigateur Edge pour une meilleure protection. En effet, la firme a confirmé que les utilisateurs ayant installé Windows 10 Anniversary Update ne sont pas affectés par cette vulnérabilité. Un correctif sera publié le 8 novembre.
Source : Google - Microsoft
Et vous ?
:fleche: Qu'en pensez-vous ?
Microsoft : des hackers russes exploitent la faille critique de Windows divulguée par Google
Microsoft : des hackers russes exploitent la faille critique de Windows divulguée par Google
un patch est attendu le 8 novembre
Dans le cadre de sa politique de divulgation des failles de sécurité, le lundi 31 octobre, l’équipe Threat Analysis Group de Google a rendu publique une faille critique affectant Windows. Le problème est que Microsoft n’a pas eu le temps de publier une mise à jour de sécurité pour colmater la brèche. Microsoft n’a eu que dix jours pour publier un patch de sécurité. En général, Google accorde un délai plus long de 60 jours, pour donner suffisamment de temps aux éditeurs pour corriger une faille dans leurs produits. Passé ce délai, les détails de la faille sont divulgués pour inciter l’entreprise à agir rapidement. Mais, lorsqu’il s’agit des problèmes graves, le délai est réduit. Ce fut le cas pour la faille dans Windows que Google a qualifié de critique. En plus, elle serait activement exploitée par des acteurs malveillants, d’après Google, mais par qui ?
Microsoft a apporté des réponses à cette question et affirmé que des hackers russes exploitent la faille divulguée par Google. Le groupe de hackers appelé Strontium est mieux connu sous le nom de « Fancy Bear » ou APT 28. Il s’agit du même groupe qui serait à l’origine d’une campagne de piratage sans précédent visant à perturber et discréditer les élections présidentes américaines. D’après le service de renseignement américain, ce groupe travaille pour le GRU, l'agence de renseignement militaire russe. Leurs attaques ciblaient le Democratic National Committee (DNC), la plus haute instance du Parti démocrate, ainsi que les services chargés des listes électorales dans plusieurs États, dont l’Arizona et l’Illinois.
Au début du mois d’octobre, l’administration Obama a d’ailleurs formellement accusé le gouvernement russe d’être impliqué dans ces piratages. Le directeur US du renseignement national et le chef du département de la sécurité intérieure ont également affirmé être « convaincus » de l’implication du gouvernement russe dans des cyberattaques liées à la campagne présidentielle américaine constatées au cours des derniers mois.
Microsoft dit avoir travaillé avec Google et Adobe pour enquêter sur cette campagne malveillante qui exploite la faille découverte par Google et pour préparer un correctif pour les versions de Windows affectées. C’est pour cette raison que Microsoft estime que « la décision de Google de divulguer ces vulnérabilités avant que les correctifs soient largement disponibles et testés est décevante » et ne pourra qu’exposer les clients à un risque plus élevé.
« Dans la foulée, les correctifs pour toutes les versions de Windows sont maintenant testés par de nombreux participants de l'industrie », a déclaré Microsoft qui prévoit de publier ces mises à jour le mardi 8 novembre, le jour des élections présidentielles des États-Unis. Sans vouloir établir de lien, Reuters s’est donc demandé si la faille en question n’a pas été exploitée par les hackers russes dans les attaques visant à perturber les élections présidentielles des États-Unis. Reuters n'a pas pu joindre les représentants du FBI ou du département de la Sécurité intérieure des États-Unis pour avoir une réponse à cette question.
Mise à jour le 09/11/2016 : Comme prévu, le 8 novembre, Microsoft a publié une mise à jour pour corriger la faille divulguée par des chercheurs de Google. D’après la firme de Redmond, cette faille était activement exploitée par les hackers russes derrière la dernière campagne de piratage visant à perturber les élections des États-Unis.
Il faut préciser que le 8 novembre était le deuxième mardi du mois. Microsoft a donc profité du Patch Tuesday pour publier un correctif la faille. La faille identifiée comme CVE-2016-7255 a été décrite dans le bulletin de sécurité MS16-135 relative à une mise à jour du noyau de Windows. Il s’agit d’une vulnérabilité d'élévation de privilèges dans Win32k affectant toutes les versions de Windows, sauf Windows 10 Anniversary Update. Si les chercheurs de Google l’ont jugée critique, Microsoft l’a classée comme « importante » dans son indice de gravité, c’est-à-dire juste après le niveau « critique ». Les chercheurs de Threat Analysis Group de Google ont également été récompensés pour leur découverte.
Dans le Patch Tuesday, Microsoft corrige environ 70 vulnérabilités dans Windows, Microsoft Office, Internet Explorer, Microsoft Edge et SQL Server. Les patchs sont décrits à travers 14 bulletins de sécurité.
:fleche: Bulletin de sécurité Microsoft MS16-135
:fleche: Synthèse des bulletins de sécurité Microsoft de novembre 2016
Source : Reuters
Et vous ?
:fleche: Qu’en pensez-vous ?
Voir aussi :
:fleche: Google a rendu publique une faille majeure de Windows avant que Microsoft ait publié un correctif de sécurité
:fleche: La Russie serait à l'origine d'attaques informatiques contre des organismes du parti des Démocrates visant à influencer les élections aux États-Unis
:fleche: États-Unis : la Russie est responsable du piratage du DNC et les cyberattaques liées à la campagne présidentielle américaine