Un faille dans Cortana permet de changer les mots de passe des PC verrouillés.
Microsoft a corrigé une vulnérabilité dans Cortana qui aurait pu permettre à un attaquant d’accéder à un ordinateur verrouillé pour utiliser Smart Assistant.
Cette faille permet d’accéder aux données sur le périphérique, d’exécuter du code malveillant, ou même de changer le mot de passe du PC pour accéder à l’intégralité du dispositif.
Le problème a été découvert par cedric Cochin, architecte cyber sécurité et ingénieur principal chez McAfee. Cédric Cochin avait rapporté en privé à Microsoft, les problèmes qu’il avait découvert en avril.
La vulnérabilité est CVE-2018-8140, que Microsoft a classé comme une élévation de privilèges, et patché hier lors de la mise à jour mensuelle du path tuesday de sécurité de la société.
Selon Cédric Cochin, le problème était présent en raison de différentes bizarreries dans la façon dont Cortana permet aux utilisateurs d’interagir avec le sous-jacent OS Windows 10.
Les chercheurs ont découvert plusieurs caractéristiques qui pourraient être combinés et mener à une attaque plus importante. (Sources)
Avis du CERT-FR
De multiples vulnérabilités ont été corrigées dans Microsoft Windows. Elles permettent à un attaquant de provoquer un déni de service, une atteinte à la confidentialité des données, une élévation de privilèges, un contournement de la fonctionnalité de sécurité et une exécution de code à distance. (Sources)
Le Patch Tuesday, qui survient le deuxième mardi de chaque mois, est le jour où Microsoft met à disposition de ses clients les derniers patchs de sécurité pour ses logiciels (en français, « mise à jour »). Débuté avec Windows 98, Microsoft utilise le système Windows Update qui permet de vérifier les patchs de sécurité à appliquer à Windows. Depuis, ce système a été actualisé pour inclure aussi les mises à jour des autres produits de l'entreprise, incluant Office. Afin de réduire les coûts engendrés par le déploiement des patchs, Microsoft a créé le concept de Patch Tuesday. L'idée est que des patchs sont accumulés durant un mois et sont ensuite distribués un jour précis pour que les administrateurs systèmes puissent se préparer. Cette date a été fixée à peu près au début de la semaine, et surtout assez loin de la fin pour que tout problème éventuel soit corrigé avant le week-end. Les administrateurs système peuvent prévoir comme étant « jour des mises à jour » le second mardi de chaque mois et se préparer en conséquence.
