Grave vulnérabilité découverte dans Microsoft Remote Desktop Client (CVE-2025-48817)

Une grave vulnérabilité a été découverte dans le client Microsoft Remote Desktop. Cette vulnérabilité, identifiée comme CVE-2025-48817, affecte plusieurs versions de Windows et représente un risque de sécurité important pour les organisations utilisant des connexions Remote Desktop Protocol (RDP).

Voici un résumé des informations disponibles, y compris celles sur les correctifs publiés par Microsoft le 8 juillet.

À propos de la vulnérabilité

CVE-2025-48817 est une vulnérabilité de traversée de chemin relatif, combinée à des failles de contrôle d’accès non autorisé dans l’infrastructure du client Remote Desktop de Microsoft.

Lorsque des victimes se connectent à un serveur compromis à l’aide d’un client Remote Desktop vulnérable, les attaquants peuvent sortir des limites de dossiers et exécuter du code arbitraire à distance (RCE).

Cette vulnérabilité ne nécessite pas de privilèges pour être exploitée. Toutefois, un utilisateur privilégié doit interagir avec un point de terminaison RDP contrôlé par un attaquant.

Selon Microsoft, aucun rapport n’indique que cette vulnérabilité aurait été exploitée activement, et aucune discussion n’a eu lieu sur les blogs de sécurité, forums ou réseaux sociaux. Cela suggère — sans garantir — que les acteurs malveillants ignoraient cette faille avant sa divulgation publique le 8 juillet. Cela offre donc aux organisations un court laps de temps pour corriger la faille avant que des attaques ne soient lancées.

Score CVSS & niveau de sévérité

CVE-2025-48817 a reçu un score CVSS de 8,8, classant sa sévérité comme « haute » (seulement 0,2 point en dessous du niveau « critique »). Les vulnérabilités de haute gravité représentent un risque critique pour les systèmes et les données, et nécessitent une attention immédiate.

Produits impactés

Les produits Microsoft suivants sont affectés par cette vulnérabilité :

• Windows Server 2008/2008 R2/2012/2012 R2
• Windows Server 2016/2019/2022/2025
• Windows 10 (toutes versions de 1607 à 22H2)
• Windows 11 (22H2, 23H2, 24H2)
• Remote Desktop Client pour Windows Desktop
• Windows App Client pour Windows Desktop

Chemin d’attaque

Une attaque exploitant CVE-2025-48817 suit les étapes suivantes :

• Étape 1 : Établir un serveur RDP malveillant. Cela peut être réalisé via des implémentations open source, des outils commerciaux ou l’usurpation d’infrastructure légitime.

• Étape 2 : Interaction de l’utilisateur. Il s’agit de faire initier une connexion RDP par un utilisateur administratif vers le serveur malveillant. Cela peut passer par du hameçonnage, de l’ingénierie sociale ou des mouvements latéraux.

• Étape 3 : Exploitation de la vulnérabilité. Le serveur présente des ressources avec des chemins spécialement conçus. Le client vulnérable les accepte et traite des opérations en dehors de la portée autorisée.

• Étape 4 : Exécution de code à distance. Le code de l’attaquant est exécuté sur la machine locale. Cela peut entraîner l’installation de logiciels malveillants ou l’ouverture d’une porte dérobée.

Correctifs

Le 8 juillet, Microsoft a publié des correctifs de sécurité couvrant toute la gamme Windows pour résoudre CVE-2025-48817. Tous les correctifs sont disponibles sur le Microsoft Security Response Center.

Les organisations concernées sont fortement invitées à appliquer en priorité les mises à jour KB5062553 et KB5062552, ainsi que les correctifs spécifiques à leur version de Windows.

Analyse de Patrick Pilotte, spécialiste sécurité opérationnelle :

La vulnérabilité CVE-2025-48817 récemment dévoilée est un rappel brutal des risques liés à l’utilisation de RDP dans les environnements Windows. Cette faille sévère permet une exécution de code sans authentification dès qu’un utilisateur se connecte à un serveur RDP malveillant.

Même si Microsoft a publié des correctifs le 8 juillet et qu’aucune exploitation n’a été rapportée, le chemin d’attaque est d’une simplicité inquiétante : il suffit de piéger un utilisateur privilégié pour qu’il initie une session vers un serveur compromis. Une fois connecté, la vulnérabilité permet une traversée de chemin relative et une exécution de code arbitraire — sans élévation de privilège.

Stratégies de mitigation & comment Devolutions peut aider

Chez Devolutions, nous prônons une sécurité proactive et multicouche sans complexifier les opérations. Voici comment nous aidons à réduire l’exposition aux vulnérabilités comme CVE-2025-48817 :

• Appliquer le principe du moindre privilège avec Devolutions PAM: Accès juste-à-temps, limitation de la durée des sessions, définition des accès RDP. Toutes les sessions sont enregistrées et auditées.

• Centraliser l’audit RDP avec Remote Desktop Manager: Suivi de chaque tentative, blocage ou révision basé sur le rôle, la source, la destination.

• Adopter le zero trust et la segmentation réseau : Nos solutions valident chaque session et empêchent les mouvements latéraux ou connexions non autorisées.

• Éviter l’usage direct des clients vulnérables : Rediriger les sessions via Devolutions Gateway, Remote Desktop Manager Jump, ou les proxies Remote Desktop Manager pour fermer une surface d’attaque critique.

• Former les utilisateurs finaux : Les attaques d’hameçonnage deviennent plus sophistiquées avec l’IA. Les utilisateurs doivent être une partie de la solution. L’erreur humaine est en cause dans 68% des violations de données, et les simulations d’hameçonnage réduisent de 70% la susceptibilité après six mois.

Conclusion

CVE-2025-48817 n’est pas la première vulnérabilité liée à RDP — et ne sera sûrement pas la dernière. Mais c’est l’occasion de réévaluer les contrôles d’accès à distance. Avec les solutions Devolutions, les organisations peuvent réduire leur surface d’attaque, surveiller les activités privilégiées et appliquer une gouvernance d’accès rigoureuse — avant que les attaquants n’en profitent.