Une seule petite ligne de code envoyée au mauvais endroit pouvait transformer un Surface Laptop en bloc de métal inutilisable. C'est sur cette faille que Microsoft a discrètement travaillé pendant trois mois, avant qu'elle ne soit rendue publique le 12 juin.

L'histoire commence de façon assez improbable. Jack Darcy, un chercheur en sécurité australien, a demandé à Microsoft Copilot (l'assistant IA intégré à Windows) de régler le rétroéclairage de son écran, rien de dingue donc. Bien gentil, Copilot écrit tout seul un script Python, l'exécute, et la paf, il rend l'ordinateur totalement inopérant. Plus de démarrage, plus d'accès au BIOS, rien, queudalle.

En creusant, Darcy comprend ce qui vient de se passer. Le script a écrit n'importe quoi dans le firmware du SAM, le Surface Aggregator Microcontroller, cette petite puce qui coordonne le matériel sur les Surface : alimentation, ventilateurs, clavier, capteurs. Une fois sa mémoire corrompue, la machine ne sait tout simplement plus démarrer.

Le problème de fond, c'est que cette puce n'avait aucun garde-fou. Elle acceptait n'importe quelle valeur en écriture sans vérifier si elle avait le moindre sens. Pire, les commandes de lecture et celles d'écriture partageaient la même numérotation, ce qui rendait toute exploration prudente impossible. "Vous ne pouvez littéralement pas scanner deux commandes qui se suivent sans une chance sur deux de tomber sur une commande d'écriture", résume Darcy.

Du coup, un seul paquet expédié pouvait griller la carte mère pour de bon. Aucune réparation logicielle, aucune réinitialisation d'usine, aucun accès USB de secours : direction le remplacement complet de la carte mère, soit plusieurs centaines d'euros.

Tout n'est pas si noir quand même. Pour déclencher la catastrophe, il fallait déjà disposer des droits administrateur sur la machine et avoir désactivé Secure Boot et Secure Core, les deux protections activées par défaut sur les Surface. Autrement dit, un parc d'entreprise géré normalement ne risquait rien, et les seules machines réellement exposées étaient celles des bidouilleurs tournant sous Linux, en configuration gaming allégée ou avec des pilotes maison.

Les modèles concernés vont du Surface Laptop 3 au Surface Laptop 6 et du Surface Book 1 au Surface Book 3. Les Surface Go semblent épargnés, et les versions ARM n'ont pas été testées.

Côté correctif, Microsoft a plutôt bien joué le jeu. Prévenu le 10 mars, l'éditeur a reconnu le défaut puis déployé des mises à jour de firmware via Windows Update dès le mois de mars, si bien que la grande majorité des appareils touchés sont désormais protégés. Darcy a récupéré un Surface tout neuf pour le dédommager.

Un point chiffonne quand même. Microsoft a refusé d'attribuer un CVE, l'identifiant officiel qui répertorie une faille de sécurité, estimant que le bug "n'atteignait pas le seuil" requis. Pour un défaut capable de tuer une machine de façon irréversible, l'argument laisse songeur.

Pour la suite, Redmond mise sur le langage Rust, réputé pour empêcher ce genre de débordements mémoire. Le firmware embarqué est en cours de réécriture intégrale, baptisée "Secure EC", tout comme une partie de l'UEFI sous le nom de "Project Patina".

Bref, un Copilot qui brique tout seul le PC sur lequel il tourne, voilà une démo involontaire dont Microsoft se serait bien passé.

Source : The Register

Vous allez encore vous marrer et m’envoyer des emails outragés parce que je vais encore troller Microsoft. Oui je vous parle bien de cette entreprise valorisée à 3600 milliards de dollars qui vient de nous offrir un moment de pur génie marketing. Leur compte Surface officiel sur X a publié une photo promotionnelle de leur “ultimate research buddy”, le fameux Surface Pro.

Sauf que y’a un petit problème… L’écran montre iPadOS au lieu de Windows.

Hé oui Microsoft a fait la promotion de son produit phare en montrant le système d’exploitation de son concurrent direct, Apple. C’est comme si Coca-Cola faisait une pub en versant du Pepsi dans ses canettes.

L’image publiée à 17h pile vendredi dernier montrait donc une Surface Pro avec son stylet, accompagné du message : “Read, highlight, summarize, repeat, all on Surface Pro, the ultimate research buddy.” Sauf que sur l’écran, on pouvait clairement voir Word… avec la barre de statut d’iPadOS en haut et l’indicateur Home en bas. Un montage Photoshop tellement mal fait qu’on se demande s’ils ont pas utilisé Paint.

Internet n’a pas mis longtemps à réagir. Les moqueries ont fusé de partout. “Comment une entreprise valorisée à plusieurs milliers de milliards peut-elle faire une erreur pareille ?”, demande un utilisateur. Un autre a lâché le commentaire qui tue : “Même Microsoft n’arrive pas à se résoudre à utiliser Surface.” lol, j’adore !

Le plus beau dans tout ça ce sont les Community Notes de X qui ont dû intervenir pour fact-checker Microsoft. Bref, on touche le fond.

Cette mésaventure illustre en tout cas parfaitement l’état actuel de Microsoft sous le règne de Satya Nadella. Car le PDG est tellement obsédé par l’IA qu’il en oublie les produits grand public. J’en veux pour preuve sa dernière lettre aux actionnaires, où il a mentionné 152 fois l’IA, une seule fois Windows, et la Surface, zéro.

En plus, Microsoft a licencié des milliers d’employés cet été, fermé ses boutiques physiques, et apparemment aussi viré son équipe de réseaux sociaux car sinon, comment expliquer qu’un post aussi mal fichu soit resté en ligne pendant presque 24 heures ?

Le pire, c’est que ce n’est pas la première fois. Souvenez-vous quand Surface avait le contrat avec la NFL et que les commentateurs n’arrêtaient pas d’appeler les tablettes des “iPads”. En plus ils détestaient la Surface comme jamais, regardez ça :