CERTFR-2022-ALE-001

<strong>\[Version du 18 janvier 2022\]</strong> Le 17 janvier 2022, l'éditeur<span class="mx_MTextBody mx_EventTile_content"><span class="mx_EventTile_body" dir="auto"> a publié une mise à jour exceptionnelle afin de corriger</span></span> plusieurs dysfonctionnements importants pouvant être rencontrés lors de l'installation <span class="mx_MTextBody mx_EventTile_content"><span class="mx_EventTile_body" dir="auto">des mises à jour liés au *Patch Tuesday* de janvier \[1\]</span></span><span class="mx_MTextBody mx_EventTile_content"><span class="mx_EventTile_body" dir="auto">. Ces mises à jour sont accessibles directement sur le catalogue Microsoft Update.</span></span> <strong>\[Version initiale\]</strong> Le système d'exploitation Microsoft Windows propose un service de gestion des requêtes HTTP sous la forme d'un pilote en mode noyau appelé *http.sys*. Une vulnérabilité a été découverte dans ce pilote pour Windows Server 2019, Windows Server 2022, Windows 10 et Windows 11. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance et l'éditeur considère qu'elle peut être exploitée dans le cadre d'attaques à propagation de type "ver informatique". Pour rappel, le pilote *http.sys* est notamment utilisé par Microsoft IIS, le service Windows Remote Management (WinRM) ainsi que le service SSDP. Il est donc présent sur les serveurs mais également sur les postes de travail. Par conséquent, le CERT-FR recommande de considérer que l'ensemble des machines utilisant une version de Windows affectée est vulnérable. D'après Microsoft, les environnements Windows Server 2019 et Windows 10 version 1809 ne sont pas vulnérables par défaut, sauf si la clé de registre suivante est configurée de cette manière : `HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters\ "EnableTrailerSupport"=dword:00000001` Toutes les autres versions de Windows listées dans la section Systèmes affectés sont vulnérables tant que le correctif n'a pas été appliqué. Le système Windows 10 version 1909 n'est pas listé dans les Systèmes affectés car le code contenant la vulnérabilité n'y figure pas.