Patch Tuesday de Juin : 50 vulnérabilités dont 11 critiques comprenant la variante 4 de Spectre et Cortana (vous ne « PAS »serez pas) !

Innée ou avec conviction, la chasse au bug et aux vulnérabilités du Web est sans repos… Une guerre des tranchées chronique pour Microsoft qui publie son sacro-saint patch Tuesday mensuel, épinglant 50 vulnérabilités dont 11 critiques ; Et la correction, entre-autres, de Spectre NG (Next Génération, variante 4) et du bug insidieux qui trifouillait dans les données-système via l’assistant vocal Cortana.

 

De ce patch Tuesday du 12 Juin dernier, outre les 11 failles qualifiées de « critiques » par Redmond (CVE-2018-8110, CVE-2018-8111, CVE-2018-8213, CVE-2018-8225, CVE-2018-8229, CVE-2018-8231, CVE-2018-8236, CVE-2018-8243, CVE-2018-8249, CVE-2018-8251 et CVE-2018-8267), on pourra retenir :

 

  • Microsoft annote son bulletin mensuel de Juin 2018 avec une rustine en faveur de la variante 4 de Spectre (CVE-2018-3639), une nouvelle forme d’attaque par canal auxiliaire qui reposait sur le même modus operandi que la faille initiale. La firme de Redmond précise tout de même que la mise à jour sera opérationnelle avec celle du microcode qu’Intel devrait fournir rapidement, pensons-le ;

 

  • Concernant Cortana, la faille qualifiée « d’importante » (CVE-2018-8140) exploitait les requêtes vocales au sein des versions 1709 et 1803 de Windows 10. Communiquée depuis le 23 Avril dernier à Microsoft par McAfee, la vulnérabilité pouvait se décliner sous la forme de trois type d’exploits possibles : le premier, consistait à pouvoir potentiellement accéder à l’index de fichiers / contenus via « Hey Cortana » plus la saisie (avec espace) de « P A S ». De là, Cortana affichera tout le contenu commençant par « pas » (comme « password » : « mot de passe ») en notant que tout fichier sera « cliquable » (consultable) et que les fichiers, documents ou encore scripts sont par défaut ouvert dans un éditeur de texte comme NotePad, un verrou sécuritaire qui minimisait une telle attaque. La seconde méthode testait les failles depuis l’écran de verrouillage de Windows 10 : soit depuis OneDrive (solution de stockage en ligne de Microsoft) en mettant en place une porte dérobée (pour mieux hameçonner, entre-autres, la victime) mais qui nécessitera l’autorisation de l’utilisateur (droits administrateurs via une notification) ce qui avortera la tentative (sauf si l’utilisateur clique sur « oui »…), soit via PowerShell depuis la commande vocale « Hey Cortana, P S 1 » qui recense les fichiers de ce type en résultats mais, là aussi (verrou sécuritaire), sans pouvoir faire grand chose. La faille réside dans la suite en édictant oralement « Hey Cortana, T X T » ce qui renverra aux derniers fichiers ouverts (les « récents ») dont certaines extensions « ps1 » s’affichent avec la possibilité de les exécuter… Gloups ! Enfin, troisième et dernière méthode possible qui s’avère aussi dangereuse que simple à réaliser : via un banal « Hey Cortana » suivie d’une question telle que « what time is it ? » (« quelle heure est-il ? ») + barre espace, un menu contextuel apparaît. Une pression sur la touche « Esc » (Echap) et, à nouveau, sur la barre « Espace » permettra de saisir ce que l’on veut (au kilomètre) dans le menu à nouveau visible mais vide ;

 

(Source : Icerberg.io)

 

Depuis le 7 Avril dernier, Adobe avait fournit, de plus, un correctif que Microsoft vient d’inclure pour ce patch Tuesday de Juin lié à une faille (CVE-2018-5002) de type 0-day : « l’attaque active Adobe Flash Player depuis Microsoft Office, ce qui est une approche répandue de l’exploitation de Flash car Flash est désactivé dans de nombreux navigateurs. Les attaquants intègrent généralement un fichier Flash dans un document, qui peut contenir l’intégralité de l’exploit, ou peuvent lancer l’attaque pour télécharger des exploits et des charges plus sélectivement (par exemple APT28 / Sofacy DealersChoice)« , détaille Iceberg, qui avait signalé la faille au 1er Juin 2018 officiellement à Adobe.

Si ce n’est déjà fait (ou automatisé), il faut sans tarder appliquer les mises à jour de ce patch Tuesday, via l’Update de votre système Windows. Et, dans le doute, n’hésitez pas à poser vos questions ou soucis sur le sujet dans la section dépannage d’SOSOrdi.net auprès de la communauté… A veiller !