La firme de Redmond publie un avis de sécurité au sujet d'une vulnérabilité 0-day (sans correctif) affectant les utilisateurs de Windows XP et Server 2003. À partir de Windows Vista et pour les versions supérieures, Windows n'est pas touché.
Cette vulnérabilité fait l'objet d'une exploitation par des attaquants. Microsoft parle cependant d'attaques limitées et ciblées pour lesquelles un utilisateur doit ouvrir un fichier PDF malveillant. La dangerosité est à relativiser dans la mesure où il s'agit d'une vulnérabilité d'élévation de privilège et qu'elle ne permet pas une exécution de code à distance.
La société de sécurité Secunia octroie par exemple à cette faille un niveau de dangerosité modérément critique, soit le niveau 3 d'une échelle qui en comprend 5. La vulnérabilité est due à une erreur de validation des entrées du mode utilisateur avec le composant NDProxy (NDProxy.sys) du noyau Windows.
La faille a été mise au jour par FireEye qui collabore avec Microsoft. Selon FireEye, la vulnérabilité est exploitée conjointement avec un exploit Adobe Reader pour les versions 9.5.4, 10.1.6, 11.0.02 et antérieures sur Windows XP SP3.
Pour FireEye, une mesure d'atténuation consiste à installer la dernière version d'Adobe Reader ou plus radical, migrer vers Windows 7 ou plus. De son côté, dans l'attente d'un correctif, Microsoft aiguille vers la désactivation de NDProxy.sys (via la base de registre) ce qui n'est pas sans conséquence. Des services comme l'accès à distance, l'accès réseau à distance et de réseau privé virtuel ne fonctionneront plus.
Un rappel avant le 8 avril 2014
Cette alerte de sécurité peut par ailleurs être perçue comme un rappel. Pour le moment, Windows XP continue de bénéficier de correctifs de sécurité mais à partir du 8 avril 2014, ce sera fini à tout jamais.
Dans son dernier rapport de sécurité (pour le premier semestre 2013), Microsoft a indiqué que le taux d'infection par des malwares de Windows XP est près de six fois plus élevé que celui de Windows 8. En outre, si Windows 7 est confronté à plus de malwares que Windows XP, son taux d'infection est au final bien inférieur.
Pour Windows XP, les navigateurs Google Chrome, Firefox et Opera auront des mises à jour de sécurité au-delà de la date buttoir de Microsoft. Reste que la question d'un navigateur sûr sur un système d'exploitation qui ne l'est plus a de quoi faire réfléchir.
D'après Net Applications, le taux d'utilisation de Windows XP dans le monde est de 31 %.
