Enferm\u00e9 dans une rivalit\u00e9 acharn\u00e9e avec un chercheur, Microsoft corrige une faille 0-day qu’il a divulgu\u00e9e<\/p>\n
Microsoft a publi\u00e9 un correctif pour une vuln\u00e9rabilit\u00e9 critique de s\u00e9curit\u00e9 Windows qui a \u00e9t\u00e9 divulgu\u00e9e publiquement plus t\u00f4t ce mois-ci par un chercheur en s\u00e9curit\u00e9 avec qui l’entreprise entretient une relation de plus en plus hostile.<\/p>\n
La vuln\u00e9rabilit\u00e9, suivie sous le nom CVE-2025-21391, permet \u00e0 des attaquants disposant de privil\u00e8ges de bas niveau d’\u00e9lever leurs droits d’acc\u00e8s au niveau syst\u00e8me le plus \u00e9lev\u00e9 de Windows, connu sous le nom de SYSTEM. Ce type de vuln\u00e9rabilit\u00e9 d’\u00e9l\u00e9vation de privil\u00e8ges est particuli\u00e8rement dangereux car il permet aux attaquants qui ont d\u00e9j\u00e0 obtenu un acc\u00e8s limit\u00e9 \u00e0 un syst\u00e8me de prendre un contr\u00f4le complet.<\/p>\n
Le chercheur en s\u00e9curit\u00e9 Yuki Chen, \u00e9galement connu sous le nom de Wack0, a divulgu\u00e9 publiquement les d\u00e9tails de la faille le 3 avril via la plateforme sociale chinoise Weibo, accompagn\u00e9s d’un code de preuve de concept. Chen a depuis supprim\u00e9 la publication, mais pas avant qu’elle ne soit largement diffus\u00e9e dans la communaut\u00e9 de la s\u00e9curit\u00e9.<\/p>\n
La divulgation est intervenue au milieu de ce qui semble \u00eatre un diff\u00e9rend croissant entre Chen et Microsoft concernant la mani\u00e8re dont l’entreprise g\u00e8re les rapports de vuln\u00e9rabilit\u00e9 et attribue le cr\u00e9dit aux chercheurs. Chen a exprim\u00e9 sa frustration face \u00e0 ce qu’il per\u00e7oit comme une attribution de cr\u00e9dit inappropri\u00e9e de la part de Microsoft pour des vuln\u00e9rabilit\u00e9s qu’il a d\u00e9couvertes.<\/p>\n
Dans une s\u00e9rie de publications sur les r\u00e9seaux sociaux, Chen a accus\u00e9 Microsoft d’attribuer le cr\u00e9dit de certaines de ses d\u00e9couvertes \u00e0 d’autres chercheurs ou de ne pas reconna\u00eetre correctement son travail. L’entreprise technologique n’a pas publiquement r\u00e9pondu \u00e0 ces all\u00e9gations sp\u00e9cifiques.<\/p>\n
La vuln\u00e9rabilit\u00e9 r\u00e9side dans le pilote Windows Ancillary Function Driver for WinSock, un composant qui aide \u00e0 g\u00e9rer les communications r\u00e9seau. En manipulant ce pilote, des attaquants peuvent \u00e9lever leurs privil\u00e8ges pour obtenir un acc\u00e8s de niveau SYSTEM, leur donnant essentiellement les cl\u00e9s du royaume sur une machine Windows affect\u00e9e.<\/p>\n
Microsoft a class\u00e9 la vuln\u00e9rabilit\u00e9 comme importante plut\u00f4t que critique, notant que les attaquants n\u00e9cessiteraient d\u00e9j\u00e0 un certain niveau d’acc\u00e8s au syst\u00e8me cible pour l’exploiter. Cependant, les vuln\u00e9rabilit\u00e9s d’\u00e9l\u00e9vation de privil\u00e8ges sont fr\u00e9quemment encha\u00een\u00e9es avec d’autres exploits dans des cyberattaques r\u00e9elles.<\/p>\n
Le correctif a \u00e9t\u00e9 publi\u00e9 dans le cadre de la mise \u00e0 jour Patch Tuesday d’avril de Microsoft, qui comprenait des correctifs pour 134 vuln\u00e9rabilit\u00e9s au total, dont neuf \u00e9taient des failles 0-day activement exploit\u00e9es ou divulgu\u00e9es publiquement.<\/p>\n
Cette situation souligne la relation tendue qui peut exister entre les chercheurs en s\u00e9curit\u00e9 et les grands fournisseurs de technologie. Bien que les programmes de divulgation coordonn\u00e9e de vuln\u00e9rabilit\u00e9s soient con\u00e7us pour permettre aux entreprises de corriger les probl\u00e8mes avant leur divulgation publique, des diff\u00e9rends concernant l’attribution, les d\u00e9lais et la communication peuvent conduire les chercheurs \u00e0 divulguer publiquement des vuln\u00e9rabilit\u00e9s par frustration.<\/p>\n
Les divulgations publiques de vuln\u00e9rabilit\u00e9s non corrig\u00e9es placent les utilisateurs en danger en fournissant aux acteurs malveillants des feuilles de route pour l’exploitation avant que des correctifs ne soient disponibles. Cependant, certains chercheurs soutiennent que les divulgations publiques sont parfois n\u00e9cessaires pour pousser les fournisseurs \u00e0 prendre les probl\u00e8mes de s\u00e9curit\u00e9 au s\u00e9rieux.<\/p>\n
Microsoft encourage les chercheurs en s\u00e9curit\u00e9 \u00e0 signaler les vuln\u00e9rabilit\u00e9s via ses programmes officiels de chasse aux bogues, qui offrent des r\u00e9compenses financi\u00e8res pour les d\u00e9couvertes valides. L’entreprise maintient \u00e9galement un processus de divulgation coordonn\u00e9e de vuln\u00e9rabilit\u00e9s con\u00e7u pour prot\u00e9ger les utilisateurs tout en cr\u00e9ditant correctement les chercheurs.<\/p>\n
Aux utilisateurs Windows, il est fortement recommand\u00e9 d’appliquer la derni\u00e8re mise \u00e0 jour de s\u00e9curit\u00e9 d\u00e8s que possible pour se prot\u00e9ger contre cette vuln\u00e9rabilit\u00e9 et les autres corrig\u00e9es dans la version d’avril.<\/p>\n","protected":false},"excerpt":{"rendered":"
Enferm\u00e9 dans une rivalit\u00e9 acharn\u00e9e avec un chercheur, Microsoft corrige une faille 0-day qu’il a divulgu\u00e9e Microsoft a publi\u00e9 un correctif pour une vuln\u00e9rabilit\u00e9 critique de s\u00e9curit\u00e9 Windows qui a \u00e9t\u00e9 divulgu\u00e9e publiquement plus t\u00f4t ce mois-ci par un chercheur en s\u00e9curit\u00e9 avec qui l’entreprise entretient une relation de plus en plus hostile. La vuln\u00e9rabilit\u00e9,<\/p>\n","protected":false},"author":0,"featured_media":2099,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[123],"tags":[],"class_list":["post-2098","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-entreprise-et-informatique"],"_links":{"self":[{"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/posts\/2098","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/comments?post=2098"}],"version-history":[{"count":0,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/posts\/2098\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/media\/2099"}],"wp:attachment":[{"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/media?parent=2098"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/categories?post=2098"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.blog-actu.com\/index.php\/wp-json\/wp\/v2\/tags?post=2098"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}