Microsoft Patch Tuesday : Un 0-day ; Win 7 et 8.1 reçoivent les derniers correctifs

Microsoft Patch Tuesday : Un 0-day ; Win 7 et 8.1 reçoivent les derniers correctifs

Horodatage: 10 janvier 2023 7h22
Nœud source: 1893812
by Paul Canard

Pour autant que nous puissions en juger, il y a un énorme 2874 articles dans la liste des mises à jour Patch Tuesday de Microsoft de ce mois-ci, basée sur le téléchargement CSV que nous venons de récupérer sur Redmond's Guide de mise à jour de sécurité page Web.

(Le site Web lui-même indique 2283, mais l'exportation CSV contenait 2875 lignes, où la première ligne n'est pas réellement un enregistrement de données mais une liste des différents noms de champs pour le reste des lignes du fichier.)

Tout en haut de la liste, les noms figurant dans le Produit colonne des neuf premières entrées, traitant d'un correctif d'élévation de privilèges (EoP) noté CVE-2013-21773 pour Windows 7, Windows 8.1et une Windows RT 8.1.

Windows 7, comme beaucoup de gens s'en souviendront, était extrêmement populaire à son époque (en fait, certains le considèrent toujours comme le meilleur Windows de tous les temps), attirant finalement même les fans inconditionnels de Windows XP lorsque le support de XP a pris fin.

Windows 8.1, dont on se souvient plus comme une sorte de version de «correction de bogues» pour Windows 8 non déploré et abandonné depuis longtemps, que comme une véritable version de Windows à part entière, n'a jamais vraiment fait son chemin.

Et Windows RT 8.1 était tout ce que les gens n'aimaient pas dans la version standard de Windows 8.1, mais fonctionnant sur du matériel propriétaire basé sur ARM qui était strictement verrouillé, comme un iPhone ou un iPad - pas quelque chose auquel les utilisateurs de Windows étaient habitués, ni , à en juger par la réaction du marché, ce que beaucoup de gens étaient prêts à accepter.

En effet, vous aurez parfois lire que l'impopularité relative de Windows 8 est la raison pour laquelle la prochaine version majeure après 8.1 a été numérotée Windows 10, créant ainsi délibérément un sentiment de séparation entre l'ancienne version et la nouvelle.

D'autres explications incluent que Windows 10 était censé être le nom complet du produit, de sorte que le 10 faisait partie du tout nouveau nom du produit, plutôt que d'être simplement un numéro ajouté au nom pour indiquer une version. L'apparition ultérieure de Windows 11 a quelque peu ébranlé cette théorie - mais il n'y a jamais eu de Windows 9.

La fin de deux époques

Versez vos larmes maintenant, car ce mois-ci voit les toutes dernières mises à jour de sécurité pour les anciennes versions de Windows 7 et Windows 8.1.

Windows 7 a maintenant atteint la fin de sa période de paiement supplémentaire de trois ans pour obtenir l'ESU (ESU est l'abréviation de mises à jour de sécurité étendues), et Windows 8.1 simplement ne reçoit pas de mises à jour étendues, apparemment peu importe combien vous êtes prêt à payer :

Pour rappel, Windows 8.1 atteindra la fin du support le 10 janvier 2023 [2023-01-10], date à laquelle l'assistance technique et les mises à jour logicielles ne seront plus fournies. […]

Microsoft ne proposera pas de programme de mise à jour de sécurité étendue (ESU) pour Windows 8.1. Continuer à utiliser Windows 8.1 après le 10 janvier 2023 peut augmenter l'exposition d'une organisation aux risques de sécurité ou affecter sa capacité à respecter les obligations de conformité.

Donc, c'est vraiment la fin des époques Windows 7 et Windows 8.1, et tous les bogues du système d'exploitation laissés sur les ordinateurs exécutant encore ces versions seront là pour toujours.

Rappelez-vous, bien sûr, que malgré leur âge, ces deux plates-formes ont reçu ce mois-ci des correctifs pour des dizaines de vulnérabilités différentes numérotées CVE : 42 CVE dans le cas de Windows 7 et 48 CVE dans le cas de Windows 8.1.

Même si les chercheurs sur les menaces et les cybercriminels contemporains ne recherchent pas explicitement les bogues dans les anciennes versions de Windows, les failles qui sont d'abord découvertes par les attaquants creusant dans la toute dernière version de Windows 11 pourraient s'avérer avoir été héritées du code hérité.

En fait, le nombre de CVE de 42 et 48 ci-dessus se compare à un total de 90 CVE différents répertoriés sur le site officiel de Microsoft. Notes de version de janvier 2023 page, suggérant vaguement qu'environ la moitié des bogues d'aujourd'hui (dans la liste de ce mois-ci, tous les 90 ont des désignateurs de date CVE-2023-XXXX) attendent d'être trouvés dans Windows depuis au moins une décennie.

En d'autres termes, de la même manière que les bogues découverts dans les anciennes versions peuvent s'avérer affecter les versions les plus récentes et les plus importantes, vous constaterez également souvent que les "nouveaux" bogues remontent loin et peuvent être intégrés dans des exploits qui fonctionnent sur les anciennes versions. Les versions Windows aussi.

Ironiquement, les "nouveaux" bogues peuvent finalement être plus faciles à exploiter sur les anciennes versions, en raison des paramètres de construction de logiciels moins restrictifs et des configurations d'exécution plus libérales qui étaient alors considérées comme acceptables.

Les ordinateurs portables plus anciens avec moins de mémoire qu'aujourd'hui étaient généralement configurés avec des versions 32 bits de Windows, même s'ils avaient des processeurs 64 bits. Certaines techniques d'atténuation des menaces, notamment celles qui impliquent de randomiser les emplacements où les programmes se retrouvent en mémoire afin de réduire la prévisibilité et de rendre les exploits plus difficiles à réaliser de manière fiable, sont généralement moins efficaces sur Windows 32 bits, simplement parce qu'il y a moins d'adresses mémoire. à choisir. Comme pour le cache-cache, plus il y a d'endroits où se cacher, plus il faut généralement de temps pour vous trouver.

"Exploitation détectée"

Selon Bleeping Computer, seules deux des vulnérabilités divulguées ce mois-ci sont répertoriées comme étant dans la nature, en d'autres termes connu à l'extérieur Microsoft et la communauté de recherche immédiate :

  • CVE-2023-21674 : Vulnérabilité d'élévation de privilèges de l'appel de procédure locale avancée (ALPC) de Windows. Confusément, celui-ci est répertorié comme Divulgation publique : non, mais Exploitation détectée. À partir de là, nous supposons que les cybercriminels savent déjà comment abuser de ce bogue, mais ils gardent soigneusement les détails de l'exploit pour eux, probablement pour rendre plus difficile pour les intervenants en matière de menaces de savoir quoi rechercher sur les systèmes qui n'ont pas été encore patché.
  • CVE-2023-21549 : Vulnérabilité d'élévation des privilèges du service Windows SMB Witness. Celui-ci est noté Divulgué publiquement, mais néanmoins écrit comme Exploitation moins probable. À partir de là, nous en déduisons que même si quelqu'un vous dit où se trouve le bogue et comment vous pourriez le déclencher, il sera difficile de déterminer comment exploiter le bogue avec succès et obtenir une élévation de privilèges.

Curieusement, le bogue CVE-2023-21674, qui est activement utilisé par les attaquants, ne figure pas sur la liste des correctifs de Windows 7, mais il s'applique à Windows 8.1.

Le deuxième bogue, CVE-2023-21549, décrit comme publiquement connu, s'applique à la fois à Windows 7 et à Windows 8.1.

Comme nous l'avons dit plus haut, les failles nouvellement découvertes vont souvent très loin.

CVE-2023-21674 s'applique depuis Windows 8.1 jusqu'aux toutes dernières versions de Windows 11 2022H2 (H2, au cas où vous vous poseriez la question, signifie "la version publiée au second semestre").

Plus spectaculaire encore, CVE-2023-21549 s'applique directement de Windows 7 à Windows 11 2022H2.

Que faire de ces vieux ordinateurs ?

Si vous avez des ordinateurs Windows 7 ou Windows 8.1 que vous considérez toujours utilisables et utiles, envisagez de passer à un système d'exploitation open source, tel qu'une distribution Linux, qui bénéficie toujours à la fois d'un support et de mises à jour.

Certaines versions communautaires de Linux se spécialisent dans le maintien de leurs distributions petites et simples

Même s'ils ne disposent peut-être pas de la plus récente et de la plus grande collection de filtres photo, d'outils de montage vidéo, de moteurs d'échecs et de fonds d'écran haute résolution, les distributions minimalistes conviennent toujours à la navigation et au courrier électronique, même sur un ancien matériel 32 bits avec de petits disques durs et peu de mémoire.

LIRE LE RAPPORT SOPHOSLABS SUR LES PATCHS DE CE MOIS

Horodatage:

Plus de Sécurité nue