Microsoft vient de publier un bulletin d’alerte sur une vulnérabilité non corrigée et qui affecte la plupart des systèmes d’exploitation Windows. L’exploitation de cette vulnérabilité permet à un utilisateur local d’un système Windows d’obtenir des droits élevés. Peu d’informations techniques ont été publiées. Le problème concerne tous les processus utilisant les droits ’NetworkService’ et ’LocalService’. En exécutant un code spécialement conçu, un utilisateur local pourrait obtenir des privilèges élevés (LocalSystem). Ainsi, dans les cas des produits Microsoft, toutes les machines implémentant IIS ou SQL serveur installés dans une certaine configuration sont vulnérables (extensions ISAPI, procédures stockées étendues...).