Des millions d'entreprises concernées : Microsoft corrige une faille de sécurité dans son outil d'authentification

Les serveurs chargés de distribuer les mises à jour de sécurité passent pour le maillon le plus fiable d'un réseau d'entreprise. L'un d'eux a pourtant ouvert une brèche béante aux pirates. La faille WSUS laissait prendre le contrôle de machines Windows sans aucun identifiant.

Résumé

Faille dans l'authentification

Microsoft a corrigé une faille de sécurité majeure dans son outil d'authentification utilisé par des millions d'entreprises à travers le monde.

Cet outil, appelé Azure Active Directory (ou Azure AD), permet aux employés de se connecter à distance aux systèmes informatiques de leur entreprise en toute sécurité.

Une faille est une vulnérabilité, c'est-à-dire une faiblesse dans un système qui peut être exploitée par des pirates pour accéder à des données sensibles ou perturber des services.

Dans ce cas précis, la faille permettait à des attaquants de contourner les mécanismes de vérification d'identité, comme les mots de passe ou les codes envoyés par SMS.

Microsoft n'a pas détaillé la nature exacte de la faille, mais elle concernait un protocole d'authentification appelé OAuth 2.0, un standard largement utilisé pour autoriser des applications tierces à accéder à des ressources protégées sans partager de mot de passe.