Vulnérabilités critiques dans Windows

Deux vulnérabilités critiques ont été révélées pour les systèmes d’exploitation Windows. Elles peuvent permettre à un attaquant d’exécuter du code arbitraire à distance. Ces vulnérabilités seraient actuellement exploitées dans la nature à petite échelle selon Microsoft.

CVE-2020-0938, CVE-2020-1020 [Scores CVSS v3 : 7.8 et 8.8] : Dans Windows Adobe Type Manager Library, il existe un défaut lors du traitement de polices de type Adobe Type 1 PostScript. En amenant un utilisateur à ouvrir un fichier spécialement forgé, un attaquant peut exécuter du code arbitraire sur un système vulnérable.

Il n’existe actuellement pas de correctif pour cette vulnérabilité. Cependant, Microsoft précise que les risques sur Windows 10 sont limités grâce à des mitigations installées par défaut depuis la première version en 2015.

Mise à jour 16/04/2020 : Microsoft a publié un correctif à l'occasion du Patch Tuesday d'Avril 2020.

Informations
+

Risques

  • Exécution de code arbitraire

Criticité

  • Score CVSS v3 : 7.8 et 8.8

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement mais cette vulnérabilité serait exploitée à petite échelle dans la nature selon Microsoft

Composants vulnérables

  • Une liste des versions de Windows vulnérables est disponible ici

CVE

  • CVE-2020-0938

  • CVE-2020-1020


Recommandations
+

Mise en place de correctifs de sécurité

  • Microsoft a publié un correctif à l'occasion du Patch Tuesday d'Avril 2020, il est conseillé de l'installer dans les plus brefs délais.

Solution de contournement

  • Plusieurs solutions de contournement sont proposées par Microsoft :

    • Désactiver les onglets Preview et Détails dans Windows Explorer

    • Désactiver le service WebClient

    • Renommer ATMFD.DLL

Plus de détails sont disponibles dans le bulletin Microsoft.