A l’occasion du Patch Tuesday de janvier 2019, Microsoft publie un correctif de sécurité pour le client DHCP de Windows 10. Il est proposé par la mise à jour cumulative KB4480966.
KB4480966 s’adresse uniquement aux périphériques sous Windows 10 v1803. Microsoft recommande son installation dès que possible. La vulnérabilité est décrite en détail dans le document CVE-2019-0547. Selon le groupe il n’y a pas encore eu d’attaques informatiques connues. Il est expliqué
« Il existe une vulnérabilité de corruption de mémoire dans le client DHCP Windows lorsqu’un attaquant envoie des réponses DHCP spécialement conçues à un client. Un attaquant peut exploiter cette faille pour exécuter du code arbitraire sur la machine client. […] La mise à jour de sécurité corrige cette vulnérabilité en modifiant la façon dont les clients DHCP Windows traitent certaines réponses DHCP. »
Windows 10 et KB4480966, problèmes connus
Ce problème de sécurité a été découvert en interne. Il n’y a, à ce jour, aucune preuve montrant une exploitation « publique » cependant il est vivement recommandé de “patcher” sa machine. Cette mise à jour cumulative KB4480966 s’accompagne également de quatre problèmes connus et non corrigés. Tous les détails sont disponibles en fin d’article.
L’un d’eux concerne les applications tierces qui, selon Microsoft, pourraient ne pas rencontrer des problèmes d’authentification (hotspot). Un correctif est déjà en cours de développement et sa publication devrait intervenir avant la fin du mois.
Problème connus et non corrigés
| Symptom | Workaround |
| After you install the August Preview of Quality Rollup or September 11, 2018 .NET Framework update, instantiation of SqlConnection can throw an exception. For more information about this issue, see the following article in the Microsoft Knowledge Base: 4470809 SqlConnection instantiation exception on .NET 4.6 and later after August-September 2018 .NET Framework updates. | Microsoft is working on a resolution and will provide an update in an upcoming release. |
| After installing this update, some users cannot pin a web link on the Startmenu or the taskbar. | Microsoft is working on a resolution and will provide an update in an upcoming release. |
| After installing KB4467682, the cluster service may fail to start with the error “2245 (NERR_PasswordTooShort)” if the Group Policy “Minimum Password Length” is configured with greater than 14 characters. | Set the domain default “Minimum Password Length” policy to less than or equal to 14 characters. Microsoft is working on a resolution and will provide an update in an upcoming release. |
| After installing this update, third-party applications may have difficulty authenticating hotspots. | Microsoft is working on a resolution and estimates a solution will be available mid-January. |
