On en parle moins car Microsoft a sérieusement resserré la sécurité de son système d’exploitation, mais les vulnérabilités sont toujours présentes au sein de Windows. Lucas Leong, chercheur en sécurité chez Trend Micro, a mis au jour une faille touchant les bases de données JET Database, présentes dans toutes les versions de Windows.
Microsoft au pied du mur
Ce bug dans la gestion des index de JET Database permet à un pirate de créer un fichier de base de données malveillant. Si l’utilisateur a le malheur d’ouvrir le fichier en question (attention aux pièces jointes !), le hacker sera en mesure d’exécuter du code en s’appuyant sur les privilèges détenus par le logiciel utilisé par la victime. Toutes les versions de Windows sont concernées, y compris les versions serveurs ce qui ne manquera pas d’effrayer les entreprises.
Cette histoire n’a rien d’extraordinaire : les failles de sécurité, cela existe et cela existera toujours. Le problème ici, c’est que Microsoft a été mis au courant de la vulnérabilité il y a plus de 120 jours et que malgré ce délai (déjà plus long que les 90 jours standard pratiqués dans l’industrie), l’éditeur n’a pas pu fournir de correctif.
Résultat : tout a été rendu public dans le détail, ce qui permet ainsi aux pirates motivés d’exploiter la faille. Mis au pied du mur, Microsoft va devoir faire au plus vite pour livrer un patch, sans doute le 9 octobre à l’occasion d’un nouveau patch tuesday.