Microsoft a révélé une vulnérabilité critique dans Windows Defender qui aurait pu permettre l’exposition de données sensibles via un réseau. La faille de sécurité, identifiée comme CVE-2024-49071, a été rendue publique le 12 décembre dans le guide des mises à jour de sécurité de l’entreprise. Selon Microsoft, il n’est pas nécessaire que les utilisateurs prennent des mesures, car la solution a été déployée à distance sur les serveurs.
Abonnez-vous à la newsletter de Softonic et recevez les dernières nouveautés en technologie, jeux vidéo et offres directement dans votre boîte
Abonnez-vous (c'est GRATUIT) ►Le problème résidait dans le fait que Windows Defender créait un « index de recherche de documents privés ou sensibles » sans limiter adéquatement l’accès à celui-ci. Cela, selon la base de données de vulnérabilités de Debricked, aurait pu permettre à des acteurs non autorisés d’accéder à des informations confidentielles. Bien que la complexité de l’attaque soit faible, l’exploiter nécessitait un certain accès préalable à Windows Defender. Heureusement, aucun cas d’exploitation de cette vulnérabilité n’a été signalé jusqu’à présent.
Microsoft a clarifié que la vulnérabilité a déjà été entièrement corrigée et que les utilisateurs n’ont pas besoin d’installer de correctifs ni d’effectuer des ajustements. Cette stratégie, bien que peu courante pour une vulnérabilité critique, reflète une nouvelle approche de l’entreprise en matière de transparence sur les questions de sécurité. Depuis juin 2024, Microsoft s’est engagé à informer les utilisateurs des vulnérabilités critiques dans les services cloud, même lorsqu’il n’est pas nécessaire qu’ils prennent des mesures directes.
« Nous émettrons des CVE pour les vulnérabilités critiques dans les services cloud, que les clients aient besoin d’installer un correctif ou de prendre d’autres mesures pour se protéger », a assuré Microsoft à la mi-année. Cette approche vise à renforcer la confiance dans l’entreprise en informant de manière proactive sur les problèmes déjà résolus.
Dans ce cas, Microsoft assure que « la vulnérabilité documentée par ce CVE ne nécessite aucune action de la part du client pour être résolue » et a ajouté qu’« elle a déjà été complètement atténuée ».
