En résumé:
- PCWorld rapporte la vulnérabilité Zero Day « BlueHammer » qui permet aux attaquants de potentiellement prendre le contrôle des ordinateurs Windows via une élévation de privilèges.
- Un chercheur en sécurité frustré a publié l’exploit après que Microsoft n’ait pas répondu à sa divulgation en temps opportun.
- L’exploit cible une faille entre l’heure de vérification et l’heure d’utilisation, bien que le chercheur ait intentionnellement inclus des failles pour empêcher une utilisation abusive généralisée.
Un chercheur en sécurité a découvert une vulnérabilité non corrigée dans Windows et l’a signalée au Microsoft Security Response Center. Cependant, ils n’ont pas répondu à temps à son rapport et maintenant un exploit circule dans la nature… qui semble avoir été créé par le chercheur même qui a découvert la vulnérabilité.
Comme le rapporte BleepingComputer, il s’agit d’une vulnérabilité zero-day qui a été reconnue comme telle par Microsoft mais qui n’a pas encore été corrigée. La vulnérabilité s’appelle « BlueHammer » et permettrait même aux attaquants de s’emparer d’un ordinateur Windows entier.
Les analystes considèrent que la menace est bien réelle. La vulnérabilité exploite apparemment une combinaison d’une faille « time-of-check to time-of-use » (TOCTOU) et d’un chemin de fichier mal configuré. Il repose sur la vérification d’un fichier, puis sur la modification de son état avant qu’il ne soit réellement utilisé. Ainsi, si un attaquant manipule un fichier pendant cette fenêtre précise, le système ignore la vérification initiale.
Les attaquants peuvent utiliser cette méthode pour accéder à différents niveaux du système et élever leurs privilèges. En fin de compte, cela leur permet d’intercepter les mots de passe des comptes créés localement et de prendre le contrôle des systèmes.
Cependant, le processus permettant d’exploiter pleinement la vulnérabilité est assez complexe et ne fonctionne pas toujours. De plus, le chercheur qui a découvert la vulnérabilité a publié son code d’exploitation avec des failles délibérées pour empêcher les attaquants de simplement l’utiliser directement. Néanmoins, la vulnérabilité est dangereuse et ne doit pas être sous-estimée.
La réponse de Microsoft
S’adressant à BleepingComputer, un représentant de Microsoft a déclaré : « Microsoft s’engage auprès de ses clients à enquêter sur les problèmes de sécurité signalés et à mettre à jour les appareils concernés pour protéger les clients dès que possible. Nous soutenons également la divulgation coordonnée des vulnérabilités, une pratique largement adoptée par l’industrie qui permet de garantir que les problèmes sont soigneusement étudiés et résolus avant leur divulgation publique, soutenant à la fois la protection des clients et la communauté de recherche en sécurité. «
Cependant, cette divulgation était sans doute tout sauf « coordonnée », puisque le découvreur de la vulnérabilité a agi de sa propre initiative, apparemment par frustration face à l’approche adoptée par l’équipe de sécurité de Microsoft.
