Comment réparer la vulnérabilité Microsoft "Follina" MSDT Windows Zero-Day

Microsoft a signalé l'existence d'une faille de sécurité critique, dite "jour zéro", dans son système d'exploitation Windows. Cette vulnérabilité affecte toutes les versions majeures, y compris Windows 11, Windows 10, Windows 8.1 et même Windows 7. Connue sous le nom de CVE-2022-30190 ou "Follina", elle permet à des personnes malintentionnées d'introduire et d'exécuter à distance des logiciels malveillants sur les systèmes Windows, sans que Windows Defender ou d'autres logiciels de sécurité ne les détectent. Heureusement, Microsoft a proposé une solution temporaire pour minimiser ce risque. Cet article détaille les étapes à suivre pour sécuriser vos ordinateurs Windows 11/10 contre cette nouvelle menace.

Solution à la faille "Follina" (MSDT) de Windows (juin 2022)

Qu'est-ce que la vulnérabilité "Follina" (MSDT) de Windows (CVE-2022-30190) ?

Avant de passer à la correction, il est important de comprendre la nature de cette exploitation. Identifiée par le code CVE-2022-30190, cette faille "jour zéro" est liée à l'outil de diagnostic Microsoft (MSDT). En exploitant cette vulnérabilité, des individus malveillants peuvent exécuter des commandes PowerShell à distance via MSDT lorsqu'un document Office infecté est ouvert.

Selon Microsoft, "une vulnérabilité d'exécution de code à distance existe lorsque MSDT est sollicité via un protocole URL à partir d'une application comme Word. Un pirate qui réussirait à exploiter cette faille pourrait exécuter du code arbitraire avec les permissions de l'application. Il pourrait alors installer des programmes, consulter, modifier ou supprimer des informations, ou encore créer de nouveaux comptes avec les droits de l'utilisateur ciblé."

Comme l'explique le chercheur Kevin Beaumont, l'attaque utilise la fonctionnalité de modèle distant de Word pour récupérer un fichier HTML depuis un serveur distant. Elle exploite ensuite le schéma d'URI MSProtocol "ms-msdt" pour charger le code et lancer les commandes PowerShell. Cette vulnérabilité a été baptisée "Follina" en raison de la référence au code régional 0438 (Follina, Italie) dans l'échantillon de fichier analysé.

On peut se demander pourquoi la vue protégée de Microsoft ne bloque pas l'ouverture du lien. La réponse est que l'exécution peut se produire même en dehors du périmètre de la vue protégée. Comme l'a souligné le chercheur John Hammond, le lien peut être activé directement depuis le panneau de prévisualisation de l'Explorateur Windows sous la forme d'un fichier Rich Text Format (.rtf).

Selon un rapport d'ArsTechnica, des chercheurs du Shadow Chaser Group ont signalé cette vulnérabilité à Microsoft dès le 12 avril. Bien que Microsoft ait réagi une semaine plus tard, l'entreprise semble l'avoir écartée, car elle n'avait pas réussi à la reproduire de son côté. Cependant, cette faille est désormais classée comme "jour zéro" et Microsoft conseille de désactiver le protocole URL MSDT comme solution de contournement temporaire pour protéger les ordinateurs contre cette exploitation.

Mon PC Windows est-il exposé à la faille "Follina" ?

Sur sa page de guide des mises à jour de sécurité, Microsoft a recensé 41 versions de Windows affectées par la vulnérabilité "Follina" (CVE-2022-30190), notamment les éditions Windows 7, Windows 8.1, Windows 10, Windows 11, et même Windows Server. Vous trouverez ci-dessous la liste exhaustive des versions concernées :

Windows 10 version 1607 pour systèmes 32 bits
Windows 10 version 1607 pour systèmes x64
Windows 10 version 1809 pour systèmes 32 bits
Windows 10 version 1809 pour systèmes basés sur ARM64
Windows 10 version 1809 pour systèmes x64
Windows 10 version 20H2 pour systèmes 32 bits
Windows 10 version 20H2 pour systèmes basés sur ARM64
Windows 10 version 20H2 pour systèmes x64
Windows 10 version 21H1 pour systèmes 32 bits
Windows 10 version 21H1 pour systèmes basés sur ARM64
Windows 10 version 21H1 pour systèmes x64
Windows 10 version 21H2 pour systèmes 32 bits
Windows 10 version 21H2 pour systèmes basés sur ARM64
Windows 10 version 21H2 pour systèmes x64
Windows 10 pour systèmes 32 bits
Windows 10 pour systèmes x64
Windows 11 pour systèmes basés sur ARM64
Windows 11 pour systèmes x64
Windows 7 pour systèmes 32 bits Service Pack 1
Windows 7 pour systèmes x64 Service Pack 1
Windows 8.1 pour systèmes 32 bits
Windows 8.1 pour systèmes x64
Windows RT 8.1
Windows Server 2008 R2 pour systèmes x64 Service Pack 1
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation Server Core)
Windows Server 2008 pour systèmes 32 bits Service Pack 2
Windows Server 2008 pour systèmes 32 bits Service Pack 2 (installation Server Core)
Windows Server 2008 pour systèmes x64 Service Pack 2
Windows Server 2008 pour systèmes x64 Service Pack 2 (installation Server Core)
Serveur Windows 2012
Windows Server 2012 (installation du noyau du serveur)
Serveur Windows 2012 R2
Windows Server 2012 R2 (installation du noyau du serveur)
Serveur Windows 2016
Windows Server 2016 (installation du noyau du serveur)
Serveur Windows 2019
Windows Server 2019 (installation du noyau du serveur)
Serveur Windows 2022
Windows Server 2022 (installation du noyau du serveur)
Correctif de base Windows Server 2022 Édition Azure
Windows Server, version 20H2 (installation du noyau du serveur)

Désactiver le protocole URL MSDT pour protéger Windows contre la vulnérabilité "Follina"

1. Appuyez sur la touche Win et tapez "Cmd" ou "Invite de commandes". Sélectionnez "Exécuter en tant qu'administrateur" pour ouvrir une fenêtre d'invite de commandes avec les droits requis.

2. Avant de modifier le registre, utilisez la commande ci-dessous pour effectuer une sauvegarde. Vous pourrez ainsi restaurer le protocole une fois qu'un correctif officiel sera déployé. Le chemin du fichier indique l'emplacement où enregistrer la sauvegarde au format .reg.

reg export HKEY_CLASSES_ROOTms-msdt <chemin_du_fichier.reg>

3. Exécutez maintenant la commande suivante pour désactiver le protocole URL MSDT. Si l'opération réussit, vous verrez apparaître le message "L'opération a réussi".

reg delete HKEY_CLASSES_ROOTms-msdt /f

4. Pour réactiver le protocole ultérieurement, vous devrez utiliser la sauvegarde que vous avez effectuée à l'étape 2. Lancez la commande ci-dessous pour retrouver l'accès au protocole URL MSDT.

reg import <chemin_du_fichier.reg>

Sécuriser son PC Windows contre la faille "MSDT" de Windows

Voici donc les étapes à suivre pour désactiver le protocole URL MSDT sur votre PC Windows et bloquer l'exploitation de la vulnérabilité "Follina". En attendant la mise à disposition d'un correctif de sécurité officiel par Microsoft, vous pouvez utiliser cette solution de contournement temporaire pour vous protéger de la faille "jour zéro" CVE-2022-30190. Pour renforcer la sécurité de votre ordinateur contre les logiciels malveillants, vous pouvez également envisager d'installer des outils de suppression spécifiques ou un antivirus.