Accueil » Actualité » L’appli Bloc-notes de Windows expose une faille de sécurité majeure

L’appli Bloc-notes de Windows expose une faille de sécurité majeure

Image 1 : L'appli Bloc-notes de Windows expose une faille de sécurité majeure

Le Bloc-notes de Windows est éditeur de texte certes basique, mais il est gratuit. On le retrouve dans toutes les versions de Windows depuis 1983, et son interface a très peu changé à travers le temps. Cet outil très simple exposerait apparemment une faille qui permettrait de prendre le contrôle de l’ordinateur à distance.

Une faille découverte par le Project Zero de Google

Bloc-notes fait partie intégrante de Windows. De ce fait, tous les utilisateurs de PC sont concernés, à l’exception de ceux utilisant un OS plus ancien que Windows XP. Selon Tavis Ormandy, un membre de l’équipe du Project Zero, un pirate pourrait relativement simplement prendre le contrôle d’un ordinateur en « chargeant du code malicieux à travers Bloc-notes ».

Pour ce faire, il faudrait qu’il exploite un composant du Text Services Framework de Windows, l’API qui prend en charge la saisie et le traitement avancé des textes. Le composant fautif s’appelle CTextFramework.

Ce dernier expose une faille qui permet de détourner son usage à travers « des applications avec qui il interagit pour traiter le texte qui apparaît à l’écran ». Si l’attaque est correctement exécutée, un pirate pourrait obtenir tous les accès privilégiés au système.

Un patch est évidemment disponible

Mr Ormandy détaille la vulnérabilité du composant : « tout d’abord, il n’y a pas de contrôle d’accès. Toutes les applications, même les processus tournant dans une sandbox, peuvent se connecter à une session CTextFramework […] il n’y a pas d’authentification [des clients et threads]. Ensuite, rien ne vous empêche de prétendre que vous représentez un service CTF et de faire en sorte que d’autres applications (même celles ayant des accès privilégiés) se connectent à vous ».

Le patch pour contrer cette vulnérabilité est d’ores et déjà disponible. Son installation est donc fortement recommandée à tous les utilisateurs de Windows 10. À en croire ZDNet, Microsoft aurait publié pas moins de 93 patches de sécurités à travers le Patch Tuesday du mois.