Tavis Ormandy, chercheur en sécurité chez Google, a récemment découvert une vulnérabilité dissimulée dans le gestionnaire de mots de passe de Windows 10. Ce bug permet aux cyber-attaquants de voler des mots de passe.

Cette faille vient avec l'application tierce Keeper Password Manager fournie avec tous les périphériques Windows 10 préinstallés. Il semble que cette faille ressemble beaucoup à celle que ce même chercheur en sécurité a découvert en 2016.

Détails concernant la cyberattaque

Tavis Ormandy a déclaré qu'il se souvenait avoir écrit un bogue sur la manière dont l'interface utilisateur privilégiée était injectée dans les pages. Il a affirmé que cette fois-ci, il se reproduit la même chose qu'en 2016 avec la version actuelle de Password Manager.

Tavis a démontré l'attaque et il a partagé tous les détails nécessaires dans Project Zero. Ce bug semble soumis à un délai de divulgation de 90 jours, ce qui signifie qu'après cette période de 90 jours, Tavis sera libre de partager les détails complets de cette faille et de la manière dont elle peut être exploitée publiquement.

Selon lui, il a créé une nouvelle machine virtuelle Windows 10 avec une image vierge de MSDN, et il a remarqué qu'un gestionnaire de mots de passe tiers est installé par défaut. Après cela, il a trouvé la vulnérabilité critique.

Le problème est déjà signalé et un correctif a été mis en place.

Keeper a déjà signalé le problème il y a quelques jours et une nouvelle mise à jour a été déployée pour le résoudre. La société a abordé le problème dans un article de blog.

Le message de Keeper indique que tous les clients qui exécutent l'extension de navigateur sur Chrome, Edge et Firefox ont déjà reçu la version 11.4.4 via le processus de mise à jour de l'extension de leur navigateur Web. Les utilisateurs qui exécutent l'extension Safari peuvent mettre à jour manuellement la version 11.4.4 en visitant la page de téléchargement de la société. Keeper a également déclaré que les applications mobiles et de bureau n'étaient pas concernées par ce problème et qu'elles ne nécessitaient pas de mise à jour.

Pour éviter les cyberattaques, nous vous recommandons de garder toutes vos applications à jour. Vous pouvez télécharger l'extension pour Microsoft Edge à partir du magasin Microsoft.