Google a découvert et aidé à résoudre quelques bugs au cours des derniers mois, en particulier dans Microsoft Edge et Windows 10. Le géant de la technologie a dévoilé un problème de sécurité «moyen» dans les systèmes dotés de la fonctionnalité UMCI (User Mode Code Integrity). Windows 10 S était le système d'exploitation utilisé à titre d'exemple car la stratégie est activée par défaut.

Windows 10 S est un système d'exploitation sécurisé malgré la nouvelle découverte

Windows 10 S est un système d'exploitation hautement sécurisé, mais il possède son propre ensemble de restrictions, notamment le fait que vous ne pouvez pas y exécuter d'applications Win32. L'équipe Google Project Zero a découvert une faille cachée dans le système d'exploitation qui permettait l'extension de code arbitraire sur un système sur lequel UMCI était activé. Dans Windows 10 S, Device Guard est activé par défaut.

La vulnérabilité affecte uniquement les systèmes sur lesquels Device Guard est activé, et la vulnérabilité ne peut pas être exploitée à distance par d'autres systèmes. Pour pouvoir le faire, un attaquant devrait déjà avoir le code en cours d'exécution sur le système afin de modifier les entrées de registre. Cela réduirait considérablement la gravité du problème. Selon Google, la faille ne serait pas aussi grave si d’autres méthodes de contournement étaient corrigées. Par exemple, l'exécution de code à distance (RCE) dans Edge n'est toujours pas corrigée. C'est la raison pour laquelle la faille a été classée comme "moyenne".

Google a révélé la faille juste avant le patch d'avril de Microsoft, mardi

Le moment choisi pour la recherche de Google et l'annonce concernant la faiblesse étaient un peu étranges, étant donné que Microsoft n'aurait pas pu la réparer avant la publication du correctif. C'est ce qui a conduit le géant de Redmond à demander une prolongation de 14 jours.

D'autre part, Microsoft a informé Google qu'il proposerait un correctif le mois prochain dans le correctif de mai. Google a refusé la demande de Microsoft et ne lui a pas donné les 14 jours demandés, tout en rendant publique la faille.