Microsoft a publié une mise à jour de sécurité d’urgence pour l’outil Windows 10 et Windows 11 Snipping afin de corriger la vulnérabilité de confidentialité Acropalypse.
Désormais identifiée comme CVE-2023-28303, la vulnérabilité Acropalypse est causée par le fait que les éditeurs d’images ne suppriment pas correctement les données d’image recadrées lors de l’écrasement du fichier d’origine.
Par exemple, si vous prenez une capture d’écran et recadrez des informations sensibles, telles que des numéros de compte, vous devez raisonnablement vous attendre à ce que ces données recadrées soient supprimées lors de l’enregistrement de l’image.
Cependant, avec ce bogue, il a été constaté que l’outil de balisage de Google Pixel et l’outil de capture de Windows laissaient les données recadrées dans le fichier d’origine.
Par exemple, dans l’image ci-dessous, vous pouvez voir comment des données supplémentaires sont enregistrées après le marqueur de fichier IEND, qui indique la fin d’un fichier PNG. Normalement, il ne devrait pas y avoir de données après le marqueur IEND.
Ces données supplémentaires pourraient être utilisées pour récupérer partiellement le contenu de l’image recadrée, exposant potentiellement un contenu sensible qui n’a jamais été censé être public.
Des chercheurs en sécurité ont déclaré à Breachtrace que le nombre d’images publiques affectées par cette faille pourrait être élevé, VirusTotal hébergeant à lui seul plus de 4 000 images affectées par le bogue Acropalypse.
Par conséquent, sur les services d’hébergement d’images, le nombre d’images impactées par Acropalypse est probablement beaucoup plus élevé.
Microsoft publie une mise à jour de sécurité OOB
Comme l’a signalé Breachtrace, Microsoft testait un correctif pour le bogue de l’outil de capture de Windows 11 dans le canal Windows Insider Canary.
Hier soir, Microsoft a publié des mises à jour de sécurité pour les programmes Windows 10 Snip & Sketch et Windows 11 Snipping Tool afin de résoudre la faille Acropalypse.
« Nous avons publié une mise à jour de sécurité pour ces outils via CVE-2023-28303. Nous recommandons aux clients d’appliquer la mise à jour », a déclaré Microsoft à Breachtrace.
Après l’installation de cette mise à jour de sécurité, Windows 11 Snipping Tool sera la version 10.2008.3001.0 et Windows 10 Snip & Sketch sera la version 11.2302.20.0.
Microsoft suit maintenant la vulnérabilité en tant que CVE-2023-28303 et l’intitule « Vulnérabilité de divulgation d’informations de l’outil Windows Snipping ».
La vulnérabilité est classée comme étant de gravité « faible » car elle « nécessite une interaction utilisateur peu commune et plusieurs facteurs indépendants de la volonté d’un attaquant ».
- L’utilisateur doit prendre une capture d’écran, l’enregistrer dans un fichier, modifier le fichier (par exemple, le recadrer), puis enregistrer le fichier modifié au même emplacement.
- L’utilisateur doit ouvrir une image dans Snipping Tool, modifier le fichier (par exemple, le recadrer), puis enregistrer le fichier modifié au même emplacement.
Cela dit, d’après notre expérience, il n’est pas rare de prendre une capture d’écran, de l’enregistrer, puis de réaliser que vous devez recadrer quelque chose, puis écraser l’image d’origine. Cette image aurait maintenant été affectée par le bogue.
La bonne nouvelle est que, quelle que soit la manière dont l’image est créée, si vous ne partagez pas publiquement une image affectée, vous aurez peu de risques que la faille soit exploitée à moins que votre appareil ne soit compromis.
Pour installer les mises à jour de sécurité, ouvrez le Microsoft Store et accédez à Bibliothèque > Obtenir les mises à jour, et la dernière version de Windows Snipping Tool sera automatiquement installée.