Microsoft a confirmé qu’un niveau de gravité élevé, jour zéro la vulnérabilité de sécurité est activement exploitée par les acteurs de la menace et conseille à tous les utilisateurs de Windows et de Windows Server d’appliquer sa dernière Patch Tuesday mensuel mettre à jour dès que possible.

La vulnérabilité, connue sous le nom de CVE-2022-34713 ou DogWalk, permet aux attaquants d’exploiter une faiblesse dans Windows Microsoft Support Diagnostic Tool (MSDT). En utilisant l’ingénierie sociale ou le phishing, les attaquants peuvent amener les utilisateurs à visiter un faux site Web ou à ouvrir un document ou un fichier malveillant et, finalement, obtenir l’exécution de code à distance sur des systèmes compromis.

DogWalk affecte toutes les versions de Windows prises en charge, y compris les dernières versions client et serveur, Windows 11 et Windows Server 2022.

La vulnérabilité a été signalée pour la première fois en janvier 2020, mais à l’époque, Microsoft avait déclaré qu’il ne considérait pas l’exploit comme un problème de sécurité. C’est la deuxième fois au cours des derniers mois que Microsoft a été contraint de changer sa position sur un exploit connu, après avoir initialement rejeté les informations selon lesquelles un autre Windows MSDT zero-day, connu sous le nom de Follina, constituait une menace pour la sécurité. Un correctif pour cet exploit a été publié dans la mise à jour Patch Tuesday de juin.

Charl van der Walt, responsable de la recherche sur la sécurité chez Orange Cyberdefense, a déclaré que bien que Microsoft puisse peut-être être critiqué pour ne pas avoir pris en compte la fréquence et la facilité avec lesquelles des fichiers avec des extensions apparemment innocentes sont utilisés pour fournir des charges utiles malveillantes, a également noté qu’avec plusieurs milliers de vulnérabilités signalées chacune année, il faut s’attendre à ce que l’approche de triage basée sur les risques de Microsoft pour évaluer les vulnérabilités ne soit pas infaillible.

« Si tout est urgent, alors rien n’est urgent », a-t-il déclaré. « La communauté de la sécurité a depuis longtemps cessé de croire que les vulnérabilités et les menaces seront éradiquées de si tôt, donc le défi devient maintenant le développement d’une sorte d’agilité qui peut percevoir les changements dans le paysage des menaces et s’adapter en conséquence. »