Ce ne sont pas seulement les téléphones Android qui sont vulnérables à une faille de sécurité de capture d’écran. Le développeur Chris Blume a découvert que l’outil Snipping de Windows 11 est la proie d’un exploit similaire. L’utilitaire n’efface pas complètement les données d’image PNG inutilisées, ce qui permet de récupérer une partie de l’image rognée et d’obtenir potentiellement des données sensibles. Comme BipOrdinateur vérifié avec le chercheur David Buchanan, vous pouvez extrait les informations soi-disant cachées en utilisant une version légèrement modifiée du script utilisé pour démontrer la vulnérabilité Android.
Le problème n’affecte pas certains fichiers PNG, y compris les images optimisées. Vous pouvez également effacer les données inutilisées en enregistrant l’image recadrée sous un autre fichier dans un outil d’édition d’image. Les fichiers JPEG laissent également des données de la capture d’écran originale, mais l’exploit n’est pas connu pour fonctionner avec le format à ce stade.
Nous avons demandé à Microsoft de commenter et nous vous ferons savoir si nous recevons une réponse. Dans une déclaration à BipOrdinateurMicrosoft dit qu’il « enquête » sur les rapports de sécurité et « prendra les mesures nécessaires » pour protéger les utilisateurs.
Buchanan et le programmeur Simon Aarons ont récemment découvert une grave faille « aCropalypse » dans la fonction de capture d’écran Markup sur les téléphones Google Pixel. Bien que Google ait depuis corrigé la faille de sécurité avec sa mise à jour de mars (désormais étendue aux téléphones Pixel 6), le correctif ne concerne que les images créées après l’installation du correctif. Si Microsoft publie une mise à jour Windows 11 correspondante, les images existantes peuvent rencontrer le même problème.
Le problème, comme vous pouvez le deviner, est qu’un intrus ayant accès à vos images pourrait utiliser un script pour récupérer des informations que vous avez l’intention de cacher, telles que des contacts et des secrets commerciaux. Le coupable pourrait utiliser les informations à des fins de harcèlement, de chantage ou d’espionnage. Bien que cela ne soit pas un casse-tête pour les captures d’écran stockées localement (vous avez des problèmes plus importants si un attaquant a déjà accès à votre appareil), cela peut être très gênant pour les images non modifiées que vous enregistrez dans le cloud.