Microsoft a publi\u00e9 une mise \u00e0 jour hors bande pour corriger une faille de confidentialit\u00e9 dans son outil d’\u00e9dition de capture d’\u00e9cran pour Windows 10 et Windows 11.<\/p>\n
Le probl\u00e8me<\/a>surnomm\u00e9 aCropalypse<\/strong>pourrait permettre \u00e0 des acteurs malveillants de r\u00e9cup\u00e9rer des parties modifi\u00e9es de captures d’\u00e9cran, r\u00e9v\u00e9lant potentiellement des informations sensibles qui peuvent avoir \u00e9t\u00e9 rogn\u00e9es.<\/p>\n Suivi comme CVE-2023-28303<\/strong>, la vuln\u00e9rabilit\u00e9 est not\u00e9e 3,3 sur le syst\u00e8me de notation CVSS. Cela affecte \u00e0 la fois l’application Snip & Sketch sur Windows 10 et l’outil Snipping sur Windows 11.<\/p>\n “La gravit\u00e9 de cette vuln\u00e9rabilit\u00e9 est faible car une exploitation r\u00e9ussie n\u00e9cessite une interaction utilisateur peu commune et plusieurs facteurs hors du contr\u00f4le d’un attaquant”, a d\u00e9clar\u00e9 Microsoft. a dit<\/a> dans un avis publi\u00e9 le 24 mars 2023.<\/p>\n Une exploitation r\u00e9ussie n\u00e9cessite que les deux conditions pr\u00e9alables suivantes soient remplies –<\/p>\n Cependant, cela n’a pas d’incidence sur les sc\u00e9narios dans lesquels une image est copi\u00e9e \u00e0 partir de l’outil de capture ou modifi\u00e9e avant de l’enregistrer.<\/p>\n “Si vous prenez une capture d’\u00e9cran de votre relev\u00e9 bancaire, l’enregistrez sur votre bureau et rognez votre num\u00e9ro de compte avant de l’enregistrer au m\u00eame emplacement, l’image recadr\u00e9e peut toujours contenir votre num\u00e9ro de compte dans un format cach\u00e9 qui pourrait \u00eatre r\u00e9cup\u00e9r\u00e9 par quelqu’un qui a acc\u00e8s au fichier image complet \u00bb, explique Microsoft.<\/p>\n “Cependant, si vous copiez l’image recadr\u00e9e \u00e0 partir de Snipping Tool et que vous la collez dans un e-mail ou un document, les donn\u00e9es masqu\u00e9es ne seront pas copi\u00e9es et votre num\u00e9ro de compte sera en s\u00e9curit\u00e9.”<\/p>\n La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans la version 10.2008.3001.0 de Snip and Sketch install\u00e9e sur Windows 10 et la version 11.2302.20.0 de Snipping Tool install\u00e9e sur Windows 11.<\/p>\n aCropalypse est apparue pour la premi\u00e8re fois le 18 mars 2022, lorsqu’elle a \u00e9t\u00e9 trouv\u00e9<\/a> qu’un bogue dans l’outil de balisage de Google Pixel a permis d’annuler r\u00e9troactivement les modifications apport\u00e9es aux captures d’\u00e9cran, r\u00e9cup\u00e9rant ainsi des informations personnelles \u00e0 partir de captures d’\u00e9cran et d’images expurg\u00e9es, y compris celles qui ont \u00e9t\u00e9 recadr\u00e9es ou dont le contenu a \u00e9t\u00e9 masqu\u00e9.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n Les r\u00e9tro-ing\u00e9nieurs Simon Aarons et David Buchanan sont cr\u00e9dit\u00e9s d’avoir d\u00e9couvert le probl\u00e8me. La faille de haute gravit\u00e9 li\u00e9e \u00e0 Pixel, identifi\u00e9e comme CVE-2023-21036, a \u00e9t\u00e9 signal\u00e9e \u00e0 Google le 2 janvier 2023 et a \u00e9t\u00e9 fix\u00e9<\/a> via une mise \u00e0 jour publi\u00e9e le 6 mars 2023 pour les appareils Pixel 4A, 5A, 7 et 7 Pro.<\/p>\n Le d\u00e9faut<\/a> existe depuis la sortie de l’utilitaire Markup avec Android 9 Pie en 2018, et les images d\u00e9j\u00e0 partag\u00e9es au cours des cinq derni\u00e8res ann\u00e9es sont vuln\u00e9rables \u00e0 l’attaque Acropalypse, ce qui soul\u00e8ve d’\u00e9ventuels probl\u00e8mes de confidentialit\u00e9.<\/p>\n “Vous pouvez le corriger, mais vous ne pouvez pas facilement annuler le partage de toutes les images vuln\u00e9rables que vous avez pu envoyer”, a d\u00e9clar\u00e9 Buchanan. a dit<\/a> dans un tweet, le d\u00e9crivant comme un “mauvais”.<\/p>\n Un probl\u00e8me similaire avec le recadrage r\u00e9versible a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 r\u00e9cemment<\/a> dans Google Docs \u00e9galement, permettant aux utilisateurs disposant d’un acc\u00e8s en lecture seule de r\u00e9cup\u00e9rer les versions originales des images recadr\u00e9es dans les documents partag\u00e9s sans avoir les autorisations de modification pour le faire.<\/p>\n <\/p>\n\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1680824984_127_Microsoft-publie-un-correctif-pour-la-faille-de-confidentialite-aCropalypse.png\")
<\/div>\n