Microsoft a publié des correctifs de sécurité corrigeant une vulnérabilité importante dans les services de bureau à distance Windows qui pourrait permettre à des attaquants non autorisés de lancer des attaques par déni de service sur les connexions réseau. La vulnérabilité, désignée CVE-2025-53722, affecte plusieurs versions de Windows allant des systèmes existants au dernier Windows Server 2025 et Windows 11 24H2 communiqués. Microsoft précise trois principaux points à retenir : une faille critique de Windows RDS permet à des attaquants distants de déclencher DoS ; un Vecteur d’attaque basé sur le réseau et de faible complexité ; Microsoft l’a corrigé le 12 août 2025.
Par ailleurs, la vulnérabilité provient d’une consommation incontrôlée de ressources dans les services de bureau à distance Windows, classés sous CWE-400 par le système Common Weakness Enumeration. Ainsi, les chercheurs en sécurité ont attribué à la faille un score de base CVSS 3.1 de 7,5, indiquant une gravité élevée avec un potentiel de perturbation significative du système. Le vecteur d’attaque présente des caractéristiques particulièrement préoccupantes, ne nécessitant aucune authentification ni interaction de l’utilisateur tout en conservant une faible complexité d’attaque.
Bien que la vulnérabilité ne compromette pas la confidentialité ou l’intégrité des données, elle a un impact sur la haute disponibilité, rendant potentiellement les systèmes affectés complètement inaccessibles en raison d’attaques d’épuisement des ressources. L’évaluation de l’exploitabilité de Microsoft évalue actuellement la probabilité d’exploitation comme “Moins probable”, bien qu’aucun exploit public ou attaque active n’ait été documenté au moment de la divulgation.
Risques
- Déni de service (DoS)
Systèmes affectés
- Windows Server 2008 R2 (SP1)
- Windows Server 2012/2012 R2
- Windows Server 2016
- Windows Server 2019
- Windows Server 2022
- Windows Server 2025
- Windows 10 (versions 1607, 1809, 21H2, 22H2)
- Windows 11 (versions 22H2, 23H2, 24H2)
Solutions
- Mettre à jour les systèmes affectés vers les correctifs publiés par Microsoft
Source : Cyber Security News