Une querelle qui ne cesse de produire des bugs Windows non corrigés
Un conflit de longue date entre Microsoft et un chercheur en sécurité utilisant le pseudonyme Nightmare Eclipse a franchi un nouveau cap, et pas un bon pour les utilisateurs de Windows. Peu après le dernier Patch Tuesday de Microsoft, le chercheur a publié un neuvième exploit zero-day affectant Windows, ce qui signifie qu'il existe désormais un code d'attaque accessible au public pour une vulnérabilité que Microsoft n'a pas encore corrigée. Pour toute personne utilisant Windows, un zero-day Windows de ce type est important car il peut potentiellement être utilisé par des attaquants avant qu'un correctif officiel n'existe.
Ce qui rend ce cas inhabituel n'est pas l'existence d'une seule faille, mais le schéma. Il s'agit du neuvième exploit que le chercheur publie dans ce qui semble être une impasse persistante, suggérant une rupture dans les échanges habituels entre les chercheurs en sécurité et les éditeurs dont ils testent les produits.
Comment le différend avec Microsoft s'est intensifié
D'après les reportages sur le conflit, Nightmare Eclipse semble estimer que Microsoft n'a pas pris suffisamment au sérieux ses rapports de vulnérabilité via les canaux de divulgation standard de l'entreprise. Plutôt que de continuer à attendre que le processus de réponse en matière de sécurité de Microsoft agisse, le chercheur a choisi de publier publiquement un code d'exploitation de preuve de concept, en programmant cette dernière publication juste après le cycle mensuel de correctifs habituel de Microsoft.
Cette approche s'écarte de la norme industrielle de la divulgation coordonnée, selon laquelle un chercheur signale un bug en privé à un éditeur et accepte de ne pas divulguer les détails publiquement avant qu'un correctif ne soit disponible. Lorsque cette confiance est rompue, comme cela semble être le cas ici, le résultat est exactement ce qui se produit actuellement : un code d'exploitation fonctionnel circule publiquement avant que Microsoft n'ait livré un correctif. Chaque nouvelle publication dans cette série accroît la pression sur l'équipe de sécurité de Microsoft tout en donnant à des attaquants potentiels une longueur d'avance.
Les échanges se seraient tendus au point d'attirer l'attention de l'ensemble de la communauté de la sécurité, la question sous-jacente étant de savoir si la gestion par Microsoft des rapports du chercheur, ou l'absence d'une réponse satisfaisante, est en partie ce qui a poussé la situation à ce point. Indépendamment de la responsabilité, le résultat concret pour les utilisateurs ordinaires est le même : une nouvelle faille non corrigée associée à un code d'exploitation public.
Pourquoi les publications répétées de zero-days sont plus préoccupantes que des bugs isolés
Une seule vulnérabilité non corrigée est déjà une préoccupation légitime, mais une série de neuf indique quelque chose de plus structurel. Cela suggère que le processus de vérification ou de tri qui existe entre les chercheurs et l'équipe de réponse en matière de sécurité de Microsoft ne fonctionne pas correctement dans ce cas particulier. Pour les utilisateurs, cela signifie que les machines Windows peuvent être exposées à plusieurs pistes d'attaque potentielles simultanément, plutôt que de faire face à un problème qui est résolu avant que le suivant n'apparaisse.
Cela augmente également les enjeux pour le rythme mensuel des correctifs de Microsoft. Le Patch Tuesday existe pour que les équipes informatiques et les consommateurs puissent planifier les mises à jour selon un calendrier prévisible. Lorsque des exploits zero-day sont publiés juste après ce cycle, les défenseurs se retrouvent à attendre des semaines avant la prochaine fenêtre de correctif officiel, à moins que Microsoft ne décide de publier un correctif d'urgence hors cycle. C'est précisément pendant cette période d'attente que les attaquants opportunistes ont tendance à agir le plus rapidement.
Ce que cela signifie pour vous
Si vous utilisez Windows, rien de tout cela ne nécessite de panique, mais cela exige de la vigilance. Les exploits zero-day sont les plus dangereux dans la fenêtre précédant l'existence d'un correctif, et cette fenêtre est précisément ouverte en ce moment pour ce neuvième problème. La réponse la plus efficace est la même que celle qui s'applique toujours lors de situations actives de zero-day : garder les mises à jour automatiques activées afin de recevoir le correctif de Microsoft dès qu'il sera disponible, et ne pas retarder l'installation des mises à jour de sécurité une fois qu'elles sont disponibles, même si cela implique un redémarrage à un moment peu pratique.
Il convient également de se rappeler que le code d'exploitation zero-day public ne signifie pas automatiquement que chaque utilisateur de Windows est activement ciblé. Les attaquants ont encore besoin d'une voie viable pour atteindre un système vulnérable, c'est pourquoi une hygiène de base, la gestion prudente des pièces jointes et des liens inattendus, et l'exécution d'un système avec une exposition limitée et inutile à Internet, restent précieux même face aux zero-days.
Garder une longueur d'avance dans une situation non résolue
Ce conflit entre Microsoft et Nightmare Eclipse ne semble pas terminé, et d'autres divulgations sont plausibles si le désaccord sous-jacent n'est pas résolu. Pour l'instant, le point pratique à retenir pour les utilisateurs de Windows est simple : traitez ce zero-day Windows de la même manière que toute vulnérabilité non corrigée et connue publiquement. Vérifiez que votre système est configuré pour installer les mises à jour automatiquement, surveillez les recommandations officielles de Microsoft ou un éventuel correctif d'urgence, et restez prudent avec les liens et fichiers inconnus jusqu'à ce qu'un correctif soit confirmé installé sur votre appareil. Se tenir à jour avec les correctifs reste la défense la plus fiable tant que ce différend continue de se dérouler.
