MàJ : Le fichier atmfd.dll ne peut être trouvé dans Windows 10 que pour les premières versions cet OS et pas à partir de Windows 10 version 1709. Pour autant, toutes les versions récentes de Windows 10 sont également vulnérables.

---

Microsoft donne l'alerte pour deux vulnérabilités de sécurité critiques de type exécution de code à distance. Ces failles 0day font l'objet d'une exploitation active dans des attaques qui sont qualifiées de ciblées et limitées. Toutes les versions de Windows sont concernées.

Les vulnérabilités se trouvent dans la bibliothèque logicielle Adobe Type Manager servant à Windows et lors du " traitement de manière incorrecte d'une police multimaître spécialement conçue (format PostScript Type 1 d'Adobe). "

Microsoft ajoute dans son avis de sécurité qu'il existe plusieurs façons d'exploiter les vulnérabilités, comme en incitant un utilisateur à ouvrir un document spécialement conçu ou à l'afficher dans le volet de visualisation Windows.

Adobe Type Manager Library pour Windows ne s'occupe pas uniquement du contenu avec un logiciel tiers, mais également pour l'affichage d'un fichier avec l'Explorateur de fichiers via le volet de visualisation et des détails, sans l'ouverture du fichier par l'utilisateur lui-même.

S'il n'y a pas de patch correctif pour le moment, Microsoft donne quelques mesures de contournement et justement parmi celles-ci, la désactivation du volet de visualisation et du volet des détails dans l'Explorateur de fichiers.

windows-explorateur-fichiers

Les autres mesures temporaires comme la désactivation du service WebClient et celle du fichier atmfd.dll (Adobe Type Manager Font Driver) - en le renommant par exemple - sont détaillées dans l'avis de sécurité.

Pour un patch, Microsoft se contente d'évoquer sa politique habituelle de publication les deuxièmes mardis de chaque mois. A priori pour le 14 avril donc, sauf publication en urgence si cela est jugé nécessaire.

À noter que les vulnérabilités affectent également Windows 7 pour lequel le support a pris fin en janvier dernier, sauf pour les entreprises avec les Extended Security Updates payantes.