Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
La neutralisation impopulaire des éléments spéciaux utilisés dans une commande ('injection de commande') dans Windows Shell permet à un attaquant non autorisé de contourner une fonction de sécurité sur un réseau.
Texte officiel (anglais)
Improper neutralization of special elements used in a command ('command injection') in Windows Shell allows an unauthorized attacker to bypass a security feature over a network.
Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.
Type d’erreur : Injection de commande
Une saisie arrive jusqu’à une commande. Un attaquant peut faire exécuter ses propres commandes.
Comment elle s’exploite
Un attaquant peut l’exploiter à distance, par le réseau, sans aucun compte, à condition qu’une personne fasse une action, comme ouvrir un fichier ou cliquer sur un lien. L’attaque est simple à réaliser.
Ce qu’un attaquant pourrait faire
lire des données confidentielles
modifier des données ou le système
rendre le service indisponible
Mini glossaire
CVE
Numéro public unique attribué à une faille, pour que tout le monde parle de la même chose.
CVSS
Note de gravité de 0 à 10. Elle mesure la gravité théorique, pas le risque réel chez vous.
CWE
Catégorie du type d’erreur à l’origine de la faille.
KEV
Liste de l’agence américaine CISA recensant les failles réellement exploitées par des attaquants.
Correctif
Mise à jour publiée par l’éditeur pour supprimer la faille.
Atténuation
Mesure temporaire qui réduit le risque quand le correctif n’est pas encore appliqué.
Microsoft a publié aujourd'hui des mises à jour pour corriger plus de 1 400 vulnérabilités de sécurité dans ses systèmes d'exploitation Windows et d'autres logiciels. Le lot épique de patchs d'aujourd'hui nains Septembre record de près de 1000 correctifs, qui était déjà environ dix fois la charge mensuelle normale de patchs de Redmond.
