Un correctif pour le serveur Web de Microsoft à appliquer d’urgence

Microsoft a distribué ce mardi 14 avril un correctif pour une vulnérabilité permettant d’attaquer le serveur Web de Windows, IIS, en déni de service, mais également d’exécuter du code malveillant à distance.

Détaillée dans le bulletin MS15-04 et qualifiée de critique, la vulnérabilité affecte Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows 8.1 et Windows Server 2012 R2.

De fait, comme le souligne Microsoft, cette vulnérabilité permet de forcer l’exécution de code à distance : la pile http du serveur Web de Windows est susceptible de mal interpréter des requêtes taillées sur mesure pour la tromper.

Dans une note d’information, l’institut SANS souligne que des exploits tirant profit de cette vulnérabilité pour faire tomber des serveurs Web IIS sont déjà disponibles. Plusieurs fournisseurs de solutions de sécurité réseau ont déjà proposé des mises à jour de règles protéger contre les requêtes malveillantes, mais le SANS encourage à appliquer le correctif de Microsoft sans délai.

Pour l’instant, aucun exploit tirant profit de la vulnérabilité pour exécuter du code malicieux à distance n’a été observé