Dans le modèle de sécurité Windows 2000, une hiérarchie d'objets conteneurs est utilisée pour des processus séparés. Chaque session contient une ou plusieurs stations de fenêtres; chaque station de fenêtres contient un ou plusieurs postes de travail. De par leur conception, les processus sont contraints de fonctionner au sein d'une station de fenêtres, et les discussions dans le processus exécutés dans un ou plusieurs postes de travail. Un procédé dans une station de fenêtres ne devrait pas être en mesure d'accéder à des postes de travail appartenant à une autre station de fenêtres. Toutefois, en raison d'une erreur de mise en œuvre, cela pourrait se produire dans des circonstances très spécifiques. Cela pourrait permettre à un processus appartenant à un utilisateur faible privilège de voir les entrées ou sorties qui appartiennent à un autre bureau dans la même session, et potentiellement obtenir des informations telles que des mots de passe. La vulnérabilité affecte uniquement les ordinateurs de bureau au sein de la même session. En conséquence, un utilisateur malveillant ne pouvait interférer avec les processus sur la même machine locale, et seulement si il pouvait se connecter de manière interactive sur elle. Les meilleures pratiques de sécurité militent fortement contre permettant aux utilisateurs normaux de se connecter de manière interactive sur des serveurs sécurisés, sensibles, et si cette pratique a été suivie, des machines telles que les contrôleurs de domaine, les serveurs d'impression et de fichiers, serveurs d'ERP, les serveurs de base de données, et d'autres ne seraient pas à risque . En outre, d'autres meilleures pratiques de sécurité, si elles sont suivies, pourraient empêcher un utilisateur malveillant de lancer les processus d'une façon qui leur permet d'exploiter cette vulnérabilité. Serveurs Windows 2000 Terminal ne sont pas affectés par cette vulnérabilité, parce que chaque utilisateur exécute dans sa propre session.
Microsoft a publié un correctif qui élimine cette vulnérabilité de sécurité dans Microsoft Windows 2000.
Commentaires non trouvées