Microsoft a confirmé deux dysfonctionnements distincts sur Defender for Endpoint pour Linux, capables d'affecter la protection de postes et serveurs professionnels après une mise à jour.
Defender for Endpoint est la solution de détection et de réponse (EDR) de Microsoft, distincte de l'antivirus grand public Microsoft Defender et destinée aux environnements professionnels. Sa version Linux présente un bug capable de désactiver la protection après un redémarrage, ainsi qu'à un second problème bloquant l'installation d'une mise à jour sur certains systèmes RHEL durcis.
Un service qui reste éteint après redémarrage, une mise à jour qui refuse de s'installer
Le premier problème touche les versions 101.26042.0000 à 101.26042.0009 de Defender for Endpoint sur Linux, quelle que soit la distribution utilisée. Après une mise à niveau ou une réinstallation suivie d'un redémarrage, le service de protection peut rester désactivé sur certains appareils. Microsoft précise que les machines exposées sont celles qui combinent Defender for Servers (Plan 1 ou 2) et Defender for Cloud avec l'intégration MDE activée. Dans cette configuration, les mises à jour automatiques de l'extension MDE.Linux sont actives par défaut, ce qui signifie qu'une version touchée a pu être installée sans action de l'administrateur. La protection active peut alors rester compromise jusqu'à ce qu'une intervention manuelle soit effectuée.
Un second dysfonctionnement concerne les systèmes RHEL 8 et 9 fonctionnant en mode FIPS, pour encadrer les algorithmes de chiffrement utilisés par les administrations et certains secteurs régulés. Sur ces machines, la mise à jour 101.26042.x peut échouer à l'installation et laisser l'appareil sur sa version précédente.
Microsoft n'a pas détaillé la cause technique de la désactivation du service après redémarrage. L'alerte initiale ne mentionnait pas de correctif disponible, mais selon The Register, qui rapporte l'information, les notes de version pointent vers la build 101.26042.0011 pour le bug de désactivation, et vers la version 101.26052.0011 pour l'échec d'installation sous FIPS. Les équipes concernées doivent donc vérifier leurs versions déployées avant de forcer la mise à jour vers ces builds.
Des mises à jour qui tombent à plat, Microsoft connaît bien la chanson. Mais lorsque cela touche une solution de sécurité, le problème est bien différent, surtout dans un secteur sur lequel les attaques se multiplient et où il faut à la fois les détecter et y répondre. Nous apprenions aussi, il y a peu, que Microsoft testait à l'inverse une fonction capable d'isoler automatiquement du réseau un poste compromis au sein de Defender for Endpoint, preuve que l'outil continue d'évoluer côté détection malgré ces ratés de maintenance.
