La publication Patch Tuesday d'août de Microsoft a corrigé 421 vulnérabilités dans sa gamme de produits, mais une correction se démarque des autres. Enfouie dans cette liste se trouve une faille zero-day Windows activement exploitée qui permet à un attaquant ayant déjà un pied sur une machine d'élever son accès aux privilèges de niveau système. Si vous avez repoussé vos mises à jour Windows, c'est le mois pour arrêter.
Ce que fait réellement la faille zero-day du Patch Tuesday d'août
La correction phare de ce cycle mensuel cible une faille d'élévation de privilèges Windows que Microsoft confirme être exploitée activement. En termes simples, les bogues d'élévation de privilèges ne remettent pas les clés de votre porte d'entrée à un attaquant. Ils permettent plutôt à quelqu'un qui s'est déjà faufilé à l'intérieur, via un lien de phishing, un téléchargement malveillant ou un compte compromis, de se promouvoir silencieusement d'un compte utilisateur limité à un contrôle SYSTÈME complet. Une fois cela fait, ils peuvent désactiver les outils de sécurité, installer des malwares persistants, lire ou exfiltrer des fichiers, et se déplacer plus profondément dans un réseau sans avoir besoin d'une autre voie d'accès.
C'est ce qui rend ce patch d'élévation de privilèges zero-day Windows important, même s'il ne fait pas les gros titres comme le ferait un bogue d'exécution de code à distance. C'est la deuxième étape d'une chaîne d'attaque, et souvent l'étape qui transforme une intrusion mineure en compromission complète.
Pourquoi l'élévation de privilèges est un problème de confidentialité, pas seulement de sécurité
Il est facile de classer les bogues d'élévation de privilèges sous « hygiène informatique » et de passer à autre chose, mais les enjeux de confidentialité sont réels. Une fois qu'un attaquant dispose d'un accès de niveau SYSTÈME, il peut contourner les autorisations qui protègent normalement vos mots de passe enregistrés, vos jetons de session navigateur et vos fichiers stockés localement. Ce niveau d'accès est exactement ce qu'il faut pour récolter des identifiants à grande échelle, enregistrer silencieusement les frappes clavier, ou installer un logiciel espion qui survit à une simple analyse de malware parce qu'il s'exécute avec la même autorité que Windows lui-même.
C'est la même catégorie de faille qui a alimenté une série de zero-days Windows très médiatisés au cours de l'année écoulée, y compris un lié au rootkit Lazarus, où des attaquants ont utilisé une technique d'élévation similaire pour installer des malwares persistants sur des systèmes compromis. L'élévation de privilèges est rarement la partie spectaculaire d'une attaque, mais c'est souvent la partie qui détermine si une brèche reste contenue ou se transforme en opération complète de collecte de données.
Qui est à risque et comment l'exploit est utilisé
L'avis de Microsoft note que cette faille est déjà exploitée, ce qui signifie que ce n'est pas un risque théorique dans un document de recherche. Toute machine Windows non corrigée, à la maison ou en entreprise, est une cible potentielle dès qu'un attaquant dispose d'un accès initial, que ce soit via un e-mail de phishing, un téléchargement furtif ou un compte précédemment compromis.
Cela ne se produit pas non plus isolément. Le même cycle Patch Tuesday qui a corrigé cette faille zero-day est arrivé au milieu d'une vague plus large d'exploitation active contre les points de terminaison et l'infrastructure réseau, y compris les passerelles VPN Cisco sous attaque à la même période. Les attaquants travaillent clairement sur les deux extrémités du problème : pénétrer dans les réseaux via des périphériques périphériques comme les passerelles VPN, puis utiliser des bogues d'élévation de privilèges comme celui-ci pour s'implanter une fois à l'intérieur. Les chercheurs ont également maintenu une pression constante sur les défenses propres de Windows, avec des outils comme ShieldBreak démontrant à quelle vitesse de nouvelles techniques d'élévation de privilèges peuvent apparaître même après la livraison d'un patch.
Ce que cela signifie pour vous
Pour la plupart des utilisateurs quotidiens, le risque n'est pas que quelqu'un cible votre PC spécifique de nulle part. Le risque est que cette faille devienne un maillon d'une chaîne qui commence par quelque chose de plus ordinaire, un e-mail de phishing, une pièce jointe malveillante, une application compromise, et se termine par un attaquant obtenant beaucoup plus de contrôle que ce que ce pied initial aurait dû permettre. Le patch ferme cette deuxième étape, ce qui est souvent la chose la plus économique et la plus efficace que vous puissiez faire pour limiter les dégâts d'un incident de sécurité par ailleurs banal.
Les entreprises et les équipes informatiques doivent traiter cette mise à jour avec la même urgence que toute faille activement exploitée, en la priorisant sur les points de terminaison même si le déploiement plus large des 420 autres correctifs prend plus de temps à planifier.
Comment patcher maintenant et réduire l'exposition
La correction est simple : installez les mises à jour Windows de ce mois via Windows Update ou l'outil de gestion des correctifs de votre organisation dès que possible. Il n'existe pas de solution de contournement significative pour une faille d'élévation de privilèges une fois qu'elle est exploitée, le patch est donc la principale défense.
En attendant que les mises à jour soient déployées sur un parc de machines, l'hygiène de base reste importante : limitez le nombre de comptes avec droits administrateur, gardez la protection des points de terminaison active et à jour, et soyez prudent avec les pièces jointes ou liens inattendus, car c'est généralement ainsi que les attaquants obtiennent le pied initial qu'un bogue comme celui-ci aide à étendre.
Le patch d'élévation de privilèges zero-day Windows de ce mois-ci rappelle que toutes les failles dangereuses n'ont pas besoin d'être exotiques pour compter. Il suffit qu'elle soit exploitée, et celle-ci l'est déjà. Prenez les dix minutes pour mettre à jour votre système maintenant plutôt que de découvrir plus tard ce qu'un attaquant a fait avec l'accès que ce bogue fournit.
