Faille de sécurité Windows : comment protéger vos identifiants NTLM ?
Une nouvelle faille de sécurité zero-day découverte dans Windows
Une nouvelle faille de sécurité zero-day a été découverte dans Windows ! Un attaquant peut l’exploiter pour voler les identifiants NTLM simplement en incitant la victime à visualiser un fichier malveillant dans l’Explorateur de fichier. Voyons en détail cette menace.
Windows 11 24H2 et Windows Server 2022 vulnérables
Toutes les versions de Windows et Windows Server, à partir de Windows 7 et Windows Server 2008 R2, seraient vulnérables à cette nouvelle faille de sécurité mise en évidence par l’équipe de 0patch. D’après le rapport qui a été publié par 0patch, cela signifie que Windows 11 24H2 est vulnérable, tout comme Windows Server 2022. Windows Server 2025, n’est pas mentionné dans ce rapport, il pourrait donc fait figure d’exception.
Actuellement, cette faille de sécurité zero-day n’aurait pas de référence CVE, ni même de correctif officiel de la part de Microsoft. Néanmoins, l’entreprise américaine a été mise au courant de cette vulnérabilité et un patch devrait être publié prochainement. Le Patch Tuesday de décembre 2024 est attendu pour demain, mardi 10 décembre, donc il n’est pas à exclure qu’un correctif pour cette vulnérabilité soit présent.
Risques et conséquences
En exploitant cette vulnérabilité, un attaquant peut voler les informations d’identification NTLM d’un utilisateur en parvenant à l’inciter à visualiser un fichier malveillant dans l’Explorateur de fichiers Windows. Grâce à ces informations appelées hash Net-NTLM, l’attaquant peut compromettre le compte de l’utilisateur.
Comment se protéger ?
Concrètement, vous avez deux solutions. La première, c’est d’attendre le correctif officiel de la part de Microsoft, même si nous ne savons pas quand il sera disponible. La seconde, c’est d’utiliser le correctif de sécurité gratuit mis à disposition par 0patch, dans le cadre de son service de micropatching. Cela implique de créer un compte sur 0patch Central afin d’obtenir un agent à installer sur son serveur, et ainsi obtenir le correctif non officiel.
Windows 11 24H2 et Windows Server 2025 bénéficient d’un nouveau paramètre de stratégie de groupe permettant de bloquer l’authentification NTLM sur les connexions SMB sortantes. Cela pourrait permettre de se protéger de cette attaque, et d’autres techniques liées à NTLM de façon générale. Si cette méthode d’atténuation est viable, elle sera surement précisée sur le site de Microsoft, lorsque l’entreprise américaine aura corrigé cette vulnérabilité.
Source : www.it-connect.fr
