Google révèle une faille 0-day dans Windows

Google annonce qu'une faille 0-day est présente au sein de Windows et puisque Microsoft ne l'a pas corrigée dans le temps imparti, le géant américain a décidé de publier les informations au sujet de cette faille critique.

La faille révélée par l'équipe de recherche de Google Project Zero est exploitée actuellement dans le cadre d'attaques qui visent le système d'exploitation Windows, combinée à une autre faille critique présente dans Chrome. En fait, un correctif pour cette vulnérabilité sera déployé dans le prochain Patch Tuesday qui sortira le mardi 10 novembre. De son côté, Google a corrigé la vulnérabilité qui touche Chrome au sein de la version 86.0.4240.111 du navigateur.

Finalement, l'attaque s'effectue en deux étapes : d'abord en exploitant une vulnérabilité dans Chrome qui permettait d'exécuter du code malveillant, puis ensuite la vulnérabilité dans Windows qui permet de sortir du conteneur sécurisé du navigateur. Nous parlerons alors d'une fuite dans la sandbox.

Pourquoi Google a-t-il dévoilé la faille de Windows ? En fait, les équipes de recherches ont prévenu Microsoft et ont laissé 7 jours à la firme de Redmond pour corriger cette faille. Puisque Microsoft n'a pas corrigé et déployé le patch dans les 7 jours, Google a révélé cette faille 0-day. Dans son rapport, Google intègre une proof of concept pour prouver que la vulnérabilité existe et qu'elle est exploitable. D'ailleurs, celle-ci touche le noyau de toutes les versions de Windows, à partir de Windows 7 et jusqu'à la toute dernière version de Windows 10 (20H2). Reste à voir si Microsoft publiera un correctif pour Windows 7 puisque ce système n'est plus sous support.

Remarque : la faille Windows est référencée sous le nom CVE-2020-17087 alors que la faille Chrome quant à elle hérite du nom CVE-2020-15999.

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian BURNEL

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

Nombre de posts de cet auteur : 5503.Voir tous les posts

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.