Microsoft a mis en ligne les mises à jour KB5022282 et KB5022286 pour les utilisateurs de Windows 10 ! Il s'agit de mises à jour cumulatives dont l'objectif est de corriger les dernières failles de sécurité ainsi que certains bugs.

Commençons par une première bonne nouvelle puisque cette mise à jour permet de corriger le bug dans hidparse.sys qui était à l'origine de plantage sur Windows 10. En effet, suite à l'installation de la mise à jour de décembre 2022, de nombreux utilisateurs ont rencontré ce problème qui fait planter la machine et affiche un écran bleu de la mort (BSoD). Microsoft avait rapidement communiqué sur ce problème : "Après l'installation de la KB5021233, certains périphériques Windows peuvent se lancer avec une erreur (0xc000021a) sur un écran bleu.". Grâce à la mise à jour de janvier 2023, ce problème est résolu !

Deuxième bonne nouvelle : Microsoft a corrigé un autre bug impactant pour les applications qui utilisent le pilote Microsoft ODBC SQL Server pour se connecter aux bases de données. À cause de ce bug, il y avait un échec sur les connexions ODBC à destination de la base de données, mais c'est désormais de l'histoire ancienne après avoir installé cette nouvelle mise à jour !

Enfin, Microsoft évoque un problème de sécurité corrigé dans le service Local Session Manager et qui permettait à un utilisateur standard d'effectuer des tâches réservées aux admins.

• Microsoft - KB5022282

Windows 10 : les KB de Janvier 2023

Voici un résumé des mises à jour publiées, tout en sachant qu'il n'y a plus de mises à jour pour Windows 10 version 2004.

• Windows 10 versions 20H2, 21H1, 21H2 et 22H2 :  KB5022282
• Windows 10 version 2004 : Fin du support
• Windows 10 version 1909 : Fin du support
• Windows 10 version 1903 : Fin du support
• Windows 10 version 1809 :  KB5022286
• Windows 10 version 1803 : Fin du support
• Windows 10 version 1709 : Fin du support
• Windows 10 version 1703 : Fin du support
• Windows 10 version 1607 :  KB5022289
• Windows 10 version 1507 :  KB5022297

Ces mises à jour sont disponibles via les canaux habituels : Windows Update, WSUS, etc.

Pour en savoir plus sur tous les correctifs de sécurité mis en ligne par Microsoft, lisez cet article dédié au Patch Tuesday de janvier 2023.

Source

L'article Mises à jour Windows 10 de Janvier 2023 : KB5022282 et KB5022286, quoi de neuf ? est disponible sur IT-Connect : IT-Connect.

Microsoft est à fond sur ChatGPT ! Après avoir évoqué l'idée de l'intégrer à son moteur de recherche Bing, l'entreprise américaine souhaite intégrer l'outil d'OpenAI à sa suite bureautique Microsoft Office, au sein des applications Word, Outlook et PowerPoint.

Vous allez me dire : quel est l'intérêt d'intégrer ChatGPT aux applications de la suite Office ? Et bien, l'intelligence artificielle pourrait aider l'utilisateur à générer des réponses automatiques aux e-mails, de manière personnalisée, et en utilisant le même style d'écriture que l'utilisateur. Cela fait penser aux suggestions de texte sur le webmail de Gmail, mais en allant plus loin. Au-delà de générer du texte, ChatGPT pourrait permettre d'améliorer la recherche au sein d'une boîte aux lettres.

Au final, cette intégration est un véritable défi, car même si ChatGPT est impressionnant, il lui arrive de se tromper. Il devra gagner en précision, notamment en mettant à jour ses connaissances plus régulièrement, et en personnalisant le texte pour s'adapter aux styles de l'utilisateur (et non l'inverse).

Enfin, l'autre point qui peut poser problème, c'est la confidentialité des données traitées par ChatGPT. Pour vous aider et répondre à vos demandes, ChatGPT a besoin d'analyser des informations : ce qui ne doit pas se faire au détriment de la sécurité. Microsoft sera attendu au tournant sur ce point, comme d'habitude.

• ChatGPT bientôt intégré à Bing ?
• Un client ChatGPT disponible sur Windows, Linux et macOS

Microsoft veut rentabiliser son investissement

Même si Microsoft communique seulement maintenant sur ses envies d'intégrer ChatGPT à ses applications et services, il y a fort à parier que des travaux sont en cours depuis un bon moment déjà. Cela est d'autant plus vrai qu'il existe déjà un partenariat entre Microsoft et OpenAI, l'éditeur de ChatGPT.

Il s'agit d'un partenariat établi en 2020 qui permet à Microsoft de bénéficier d'une licence exclusive quant à l'utilisation de GPT-3, utilisé par ChatGPT. Ce n'est pas un hasard, car le langage GPT-3 est déjà utilisé par un outil Microsoft basé sur l'intelligence artificielle et à destination des développeurs : GitHub Copilot.

Avant même ce partenariat, en 2019 pour être précis, Microsoft avait déjà investi 1 milliard de dollars dans l'entreprise OpenAI. Depuis le départ, Microsoft est persuadé qu'OpenAI va développer l'intelligence artificielle du futur, et désormais, la firme de Redmond souhaite obtenir un retour sur investissement...

Source

L'article ChatGPT bientôt intégré à Word, Outlook et PowerPoint ? C’est l’objectif de Microsoft ! est disponible sur IT-Connect : IT-Connect.

Microsoft a mis en ligne le premier Patch Tuesday de l'année 2023 ! Pour ce mois de janvier, l'entreprise américaine a corrigé 98 failles de sécurité et une zero-day. Faisons le point !

Dans ce Patch Tuesday, où l'on retrouve 11 vulnérabilités critiques, Microsoft a inclus des correctifs pour de nombreux produits et composants, parmi lesquels : .NET Core, 3D Builder, Exchange Server, Microsoft Graphics Component, le service LSASRV, Office, SharePoint, Visio, Visual Studio Code, BitLocker, Windows Cryptographic Services, l'extension IKE de Windows, Windows Installer, LDAP, WMI, le Spouleur d'impression de Windows, SSTP, ou encore NTLM.

En complément, voici la liste des vulnérabilités critiques :

• Windows SSTP : CVE-2023-21548, CVE-2023-21535
• Windows L2TP : CVE-2023-21679, CVE-2023-21546, CVE-2023-21543, CVE-2023-21555, CVE-2023-21556
• Services cryptographiques de Windows : CVE-2023-21730, CVE-2023-21561, CVE-2023-21551
• SharePoint : CVE-2023-21743

Il est à noter que cette liste de vulnérabilités fait référence à 5 CVE corrigées dans Microsoft Exchange Server.

Faille Zero-Day : CVE-2023-21674

Découverte par Jan Vojtěšek, Milánek, et Przemek Gmerek de chez Avast, la faille de sécurité CVE-2023-21674 affecte toutes les versions de Windows et Windows Server, y compris les versions les plus récentes et les installations de Windows Server en mode Core.

Cette faille de sécurité se situe dans le composant ALPC (Advanced Local Procedure Call) de Windows et elle permet une élévation de privilèges. Sur son site, Microsoft précise : "Un attaquant ayant réussi à exploiter cette vulnérabilité pourrait obtenir des privilèges SYSTEM." - La firme de Redmond précise également que cette vulnérabilité a été exploitée dans le cadre d'attaques.

Faille CVE-2023-21549

Par ailleurs, la vulnérabilité CVE-2023-21549 qui affecte le service Windows "SMB Witness" sera à suivre de près, car, bien qu'elle ne soit pas exploitée, elle est marquée comme étant divulguée publiquement.

Cependant, Stiv Kupchik, le chercheur en sécurité d'Akamai à l'origine de cette découverte (accompagné par Ophir Harpaz), a indiqué au site BleepingComputer que cette vulnérabilité ne devrait pas être classée comme divulguée publiquement, car il a suivi le processus de divulgation habituel. Soit il s'agit d'une erreur de Microsoft, soit Microsoft a d'autres informations complémentaires. À suivre.

Il est à noter que ce Patch Tuesday est le dernier pour deux systèmes d'exploitation de Microsoft : Windows 8.1 et Windows 7 !

Source

 

L'article Patch Tuesday – Janvier 2023 : 98 failles de sécurité et une zero-day corrigées par Microsoft est disponible sur IT-Connect : IT-Connect.

À compter d'aujourd'hui, le support de Windows 7 est terminé pour tout le monde : il n'est plus possible de recevoir la moindre mise à jour de sécurité, y compris pour les éditions Professionnel et Entreprise. Mais, alors, ce n'était pas déjà le cas ? Faisons le point !

Lancé en octobre 2009, Windows 7 n'est plus sous support standard depuis janvier 2015, et le support étendu à pris fin en janvier 2020. Toutefois, certaines entreprises ont continué à recevoir des mises à jour de sécurité pendant ce temps, grâce au programme de support ESU : Extended Security Update.

Il s'agit d'un support étendu, uniquement pour les mises à jour de sécurité, auquel il est possible de souscrire en payant Microsoft. Même si je ne connais pas les tarifs, c'est probablement assez dissuasif pour éviter que trop d'entreprises souscrivent au support ESU. Et plus le temps passe, plus la facture est salée. Toutefois, c'était la dernière option possible pour continuer à utiliser Windows 7 en toute sécurité.

Je dis bien "c'était", car le support ESU a pris fin, donc à partir d'aujourd'hui, Windows 7 devient un système vulnérable et qui ne sera plus maintenu par Microsoft. Cela est d'autant plus vrai que les futures versions des navigateurs, notamment Microsoft Edge et Google Chrome, ne supporteront pas Windows 7 (et Windows 8.1).

Comme avec Windows 8.1, Microsoft encourage les utilisateurs à migrer vers une version plus récente de Windows. Je pense que vous pouvez oublier Windows 11 car la machine ne respectera pas les prérequis matériels, donc c'est vers Windows 10 qu'il faut se tourner. Même s'il faut tenir compte de cette remarque de Microsoft : "Avant d'investir dans une mise à niveau de Windows 10, veuillez considérer que Windows 10 atteindra sa date de fin de support le 14 octobre 2025."

À l'échelle mondiale, il y a encore du travail pour se débarrasser de Windows 7 : il représente encore 11,2% des machines sous Windows, soit un peu plus de 1 sur 10 ! Il s'agit d'une statistique issue du site StatCounter.

Sur le même sujet, je vous recommande de lire les articles suivants :

• Fin du support de Windows 8.1 à compter du 10 janvier 2023
• Fin du support de Windows Server 2012 R2 en octobre 2023

Source

L'article Le support de Windows 7, c’est terminé pour tout le monde ! est disponible sur IT-Connect : IT-Connect.

Grâce à ChatGPT, il devient possible d'écrire du code malveillant même si l'on n'a pas de connaissance spécifique en développement. Et ça, les cybercriminels l'ont bien compris, car il permet de gagner un temps précieux.

Développé par OpenAI et disponible depuis quelques semaines seulement, ChatGPT fait énormément parler de lui ! Pour certains, il est déjà devenu un véritable outil au quotidien. Depuis sa sortie, fin novembre 2022, de nombreux experts en cybersécurité estiment qu'il deviendra un véritable outil pour les cybercriminels. Et visiblement, c'est déjà le cas.

Écrire du code malveillant, sans aucune expérience

Les chercheurs en sécurité de Check Point Research ont repéré au moins trois cas, sur des forums, où des hackers "black hat" expliquaient comment ils avaient exploité ChatGPT à des fins malveillantes.

À titre d'exemple, un hacker a mis en ligne un bout de code Python, développé à l'aide de ChatGPT, qui est capable de rechercher, copier et exfiltrer des fichiers correspondants à 12 types différents, notamment des documents Office, des fichiers PDF ou encore des images, depuis la machine compromise. Cette même personne a publié un autre exemple, en Java cette fois-ci, mais toujours codé à l'aide de ChatGPT, dont l'objectif est de télécharger le client SSH "PuTTY" et de l'exécuter en tâche de fond sur une machine, via PowerShell.

Par ailleurs, les chercheurs de Check Point Research précisent qu'un utilisateur avec le pseudo USDoD a mis en ligne un script Python capable de chiffrer et déchiffrer des données. Même si ce type de fonction peut être utilisé pour protéger des données, ce script Python pourrait être utilisé pour créer un véritable ransomware et chiffrer les données des utilisateurs. Là où c'est inquiétant, c'est que l'utilisateur USDoD affirme qu'il est débutant et qu'il s'agit de son premier script Python, généré au travers de ChatGPT.

Puisque ChatGPT est capable de fournir des bouts de code qui ne sont clairement pas à côté de la plaque, il devient très intéressant pour les cybercriminels afin de coder des fonctions malveillantes très rapidement, comme le montrent ces premiers exemples. Mais il est clair que la puissance de l'intelligence artificielle de ChatGPT ne va pas intéresser uniquement les Scripts kiddies. On voit que ChatGPT représente une véritable opportunité pour les débutants, mais aussi les cybercriminels aguerris.

ChatGPT facilite le passage d'un langage à un autre

Les cybercriminels peuvent également utiliser ChatGPT pour combler leur lacune, notamment lorsqu'ils ont besoin d'écrire une fonction dans plusieurs langages de programmation. Même s'il y a des langages multi-OS, il y a des cas où le code doit être adapté pour être supporté par un nouveau système. Brad Hong de chez Horizon3ai estime que les systèmes basés sur l'IA et capables de générer du code permettent de combler facilement tout manque de compétences.

L'outil étant capable de générer des modèles de code à la demande, il peut répondre précisément aux objectifs de l'attaquant. Ainsi, il n'est plus nécessaire de passer des heures sur des sites comme Stack Overflow à la recherche d'un bout de code, d'une fonction, d'une astuce.

Finalement, ce que l'on constate aujourd'hui n'est pas étonnant... Car à chaque fois qu'une nouvelle technologie, qu'un nouvel outil, est disponible, il y a toujours des détournements. La preuve encore une fois.

Source

L'article ChatGPT, la nouvelle arme des cybercriminels pour écrire du code malveillant est disponible sur IT-Connect : IT-Connect.