Avis d’alerte Windows du CERT-FR du 16 septembre 2022
De multiples vulnérabilités trouvées dans Microsoft Windows conduisent a la publication d’un bulletin d’alerte du CERT-FR. Le risque principal étant une exécution de code arbitraire à distance. De nombreuses version du système d’exploitation Windows sont concernées, Windows 7, 8, 10, 11 et server 2008, 2012 et 2016. Dans son Patch Tuesday, Microsoft corrige les trois vulnérabilités critiques suivante CVE-2022-34718, CVE-2022-34721 et CVE-2022-34722. (Sources)
Le code arbitraire, également connu sous le nom de code obscur ou de code spaghetti, est une pratique où le flux logique d'un programme devient difficile à suivre en raison de la complexité excessive de sa structure. Ce type de code peut résulter d'une mauvaise conception, de l'accumulation de correctifs sans structure claire, ou simplement d'un manque de compréhension du langage de programmation utilisé. Le code arbitraire rend la maintenance et la mise à jour du logiciel difficiles et augmente le risque d'erreurs. Pour éviter cela, il est essentiel de suivre des pratiques de programmation claires et de maintenir une structure logique dans le code.
Les pirates s'intéressent plus particulièrement aux vulnérabilités critiques des logiciels et des systèmes d'exploitation. Ces failles permettent généralement d'obtenir une élévations de privilège donnant des droits d'administrateur. Une situation qui permet d'autoriser l'exécution de code arbitraire à distance à l'insu des victimes. Ce sont particulièrement les failles de catégorie zero days qui sont ciblées en priorité du fait de leur absence de correctif. Le retard d'application des mises à jour des vulnérabilités présente aussi un risque potentiel de contrôle à distance non sollicité.
Le Patch Tuesday, qui survient le deuxième mardi de chaque mois, est le jour où Microsoft met à disposition de ses clients les derniers patchs de sécurité pour ses logiciels (en français, « mise à jour »). Débuté avec Windows 98, Microsoft utilise le système Windows Update qui permet de vérifier les patchs de sécurité à appliquer à Windows. Depuis, ce système a été actualisé pour inclure aussi les mises à jour des autres produits de l'entreprise, incluant Office. Afin de réduire les coûts engendrés par le déploiement des patchs, Microsoft a créé le concept de Patch Tuesday. L'idée est que des patchs sont accumulés durant un mois et sont ensuite distribués un jour précis pour que les administrateurs systèmes puissent se préparer. Cette date a été fixée à peu près au début de la semaine, et surtout assez loin de la fin pour que tout problème éventuel soit corrigé avant le week-end. Les administrateurs système peuvent prévoir comme étant « jour des mises à jour » le second mardi de chaque mois et se préparer en conséquence.
Les CERT (Computer Emergency Response Teams) sont des centres d'alerte et de réaction aux attaques informatiques, destinés aux entreprises ou aux administrations, mais dont les informations sont généralement accessibles à tous. Les tâches prioritaires d'un CERT sont multiples. La centralisation des demandes d'assistance à la suite des incidents de sécurité sur les réseaux et les systèmes d'informations. Le traitement des alertes et réaction aux attaques informatiques. L'établissement et maintenance d'une base de donnée des vulnérabilités. La Prévention par diffusion d'informations. La coordination éventuelle avec les autres entités.
