Microsoft a publié une version mise à jour de Paint afin de corriger une vulnérabilité de sécurité critique, notée 8,1 sur 10, qui pourrait permettre à des attaquants d'exécuter leur propre code sur l'ordinateur d'un utilisateur. Selon l'entreprise, la faille peut être exploitée à distance via un réseau, sans authentification ni interaction de l'utilisateur.

Comme l'a souligné Coin Bureau, Microsoft a d'abord corrigé la vulnérabilité de Paint en octobre, avant de publier une autre version vendredi pour traiter le problème de manière exhaustive. L'entreprise indique actuellement que la faille n'a pas été exploitée à ce jour.

Microsoft publie une nouvelle mise à jour de sécurité pour Paint

La vulnérabilité présente un indice de gravité de 8,1 sur 10, ce qui la place dans la catégorie critique. Ses conditions d'attaque signalées sont particulièrement notables, car l'exploitation ne nécessite ni que l'attaquant s'authentifie, ni qu'il amène un utilisateur à interagir avec une invite malveillante.

Cette combinaison est significative en pratique : les failles pouvant être déclenchées via un réseau, sans identifiants ni action de l'utilisateur, suppriment deux des obstacles les plus courants qui limitent les attaques, ce qui explique pourquoi les problèmes exploitables à distance dans des logiciels largement installés sont généralement traités comme des priorités de correctifs urgentes. Comme Paint est livré avec Windows, l'application concernée est présente sur des machines dans les environnements domestiques, scolaires et professionnels, et non limitée aux utilisateurs ayant volontairement installé des logiciels supplémentaires.

Microsoft a déclaré que la vulnérabilité pouvait être exploitée via un réseau. L'entreprise a également précisé qu'aucune authentification ni interaction de l'utilisateur n'était requise, ce qui indique qu'un attaquant n'aurait pas nécessairement besoin d'un accès direct à l'ordinateur ciblé ni de l'aide de son utilisateur pour exploiter la faille.

Microsoft avait initialement traité le problème avec un correctif en octobre. Cependant, l'entreprise a ensuite publié une nouvelle version de Paint vendredi, décrivant la mise à jour comme un effort pour « traiter de manière exhaustive » la vulnérabilité.

Malgré son indice de gravité, Microsoft indique que la faille n'a pas été exploitée à ce jour. Cette distinction est importante : la vulnérabilité a été jugée critique, mais le référencement de l'entreprise ne signale pas que des attaquants l'aient exploitée dans la nature. Ce statut reflète le référencement de Microsoft à ce moment-là ; tout changement à cet égard serait donc le détail clé à surveiller tandis que la version corrigée continue d'être déployée.

Comment vérifier la version de Microsoft Paint

Microsoft Paint est inclus avec Windows depuis 1985, ce qui en fait l'une des applications les plus anciennes du système d'exploitation. Le problème de sécurité concerne donc un outil Windows familier, disponible pour les utilisateurs depuis des décennies.

Pour rester protégé, il est conseillé aux utilisateurs de mettre à jour Paint via le Microsoft Store et de vérifier que l'application installée exécute bien la version 11.2609.401.0. Le numéro de version recommandé offre aux utilisateurs un point de référence précis pour vérifier s'ils ont installé la mise à jour. Comme les applications du Store telles que Paint sont mises à jour séparément des mises à jour système régulières de Windows, la vérification de la version de l'application elle-même est le moyen fiable de confirmer que le correctif est bien arrivé sur une machine donnée.

La dernière version de Microsoft fait suite au correctif d'octobre et vise à traiter de manière exhaustive la faille de sécurité signalée.

Source : Hokanews. Rédigé par Victoria Hale, journaliste Technology & Blockchain.