Un nouveau zero-day Avast entre dans le domaine public

Un chercheur en sécurité opérant sous le pseudonyme Chaotic Eclipse a publié du code de preuve de concept pour une prétendue vulnérabilité zero-day dans Avast Antivirus, le logiciel de sécurité détenu par GenDigital. L'exploit, nommé PrettyPrague, cible une faille d'élévation de privilèges dans le produit antivirus. Aucun correctif n'est actuellement disponible, et aucun numéro CVE n'a été attribué à la vulnérabilité à l'heure où nous écrivons ces lignes.

Les bogues d'élévation de privilèges sont particulièrement préoccupants dans les logiciels de sécurité, car les produits antivirus s'exécutent généralement avec des permissions système élevées pour analyser les fichiers, surveiller les processus et bloquer les logiciels malveillants. Si une faille permet à un attaquant de passer d'un compte utilisateur limité à un accès complet au niveau système, l'outil même conçu pour protéger un appareil pourrait devenir une voie d'accès à celui-ci.

Qui est Chaotic Eclipse, et pourquoi ce schéma est-il important ?

Ce n'est pas la première fois que Chaotic Eclipse diffuse du code d'exploit non corrigé dans la nature. Le même chercheur avait déjà divulgué un zero-day Windows appelé Legacyhive, pour lequel Microsoft n'avait aucun correctif prêt au moment de la divulgation. Ce schéma, consistant à publier des exploits fonctionnels pour des logiciels majeurs avant que les éditeurs n'aient déployé un correctif, semble être une stratégie délibérée plutôt qu'un incident isolé.

La motivation derrière ces publications compte pour la manière dont les organisations et les individus devraient réagir. Contrairement à la divulgation responsable traditionnelle, où les chercheurs notifient les éditeurs en privé et leur laissent le temps de corriger les problèmes avant que les détails ne soient rendus publics, cette approche met immédiatement en circulation du code d'exploit fonctionnel. Cela réduit la fenêtre de réponse dont disposent les défenseurs et augmente les chances que des attaquants opportunistes tentent d'exploiter le code avant qu'un correctif n'existe.

Les enjeux de confidentialité et de sécurité pour les utilisateurs du quotidien

Les logiciels antivirus occupent une position de confiance unique sur un appareil. Ils disposent d'une visibilité profonde sur les fichiers, les processus en cours d'exécution et la mémoire système, ce qui explique précisément pourquoi une faille d'élévation de privilèges dans cette couche est si importante. Si l'exploit PrettyPrague fonctionne comme décrit, un attaquant à faibles privilèges ou un logiciel malveillant déjà présent sur une machine pourrait potentiellement utiliser la faille pour obtenir le contrôle total du système, contournant ainsi les protections mêmes qu'Avast est censé fournir.

Pour la plupart des utilisateurs domestiques, le risque réaliste dépend fortement de la question de savoir si un attaquant dispose déjà d'une forme d'accès initial à un appareil, car les exploits d'élévation de privilèges nécessitent généralement ce point d'ancrage au départ. Toutefois, dans les environnements d'entreprise ou d'ordinateurs partagés, où plusieurs comptes avec des niveaux de permission variables existent sur la même machine, ce type de vulnérabilité peut être particulièrement dangereux. Un initié malveillant ou un compte à faibles privilèges compromis pourrait utiliser l'exploit pour accéder à un niveau administrateur, exposant des fichiers sensibles, des identifiants et des ressources réseau.

L'absence d'identifiant CVE à ce stade compte également. Sans entrée formelle de vulnérabilité, les équipes de sécurité ont plus de mal à suivre le problème dans les scanners de vulnérabilités et les systèmes de gestion des correctifs, ce qui peut ralentir la réponse organisationnelle même après que GenDigital a reconnu et corrigé la faille.

Ce que cela signifie pour vous

Si vous utilisez Avast Antivirus, il n'y a pas lieu de paniquer, mais cela vaut la peine d'y prêter attention. Les affirmations de zero-day émanant de chercheurs indépendants ne sont pas toujours confirmées par l'éditeur, et les détails peuvent évoluer à mesure que de nouvelles informations apparaissent. Cela dit, le schéma des divulgations antérieures de ce même chercheur, y compris l'exploit Legacyhive axé sur Windows, suggère que ces affirmations méritent d'être prises au sérieux plutôt que d'être écartées d'emblée.

La chose la plus importante que vous puissiez faire dès maintenant est de rester à jour. Gardez les mises à jour automatiques activées pour votre système d'exploitation et votre logiciel de sécurité afin que tout correctif publié par GenDigital soit appliqué dès qu'il devient disponible. Évitez de télécharger ou d'exécuter vous-même le code de preuve de concept publié publiquement, même par curiosité, car le faire sur un système non corrigé pourrait exposer votre propre machine au risque même que cette divulgation met en évidence.

C'est également le bon moment pour revoir l'hygiène de base de vos comptes. Étant donné que les exploits d'élévation de privilèges nécessitent généralement une forme d'accès existant à un appareil, réduire le nombre de comptes disposant de droits d'administrateur, utiliser des mots de passe forts et uniques, et éviter les installations logicielles inutiles réduisent tous la surface d'attaque qu'un exploit comme celui-ci pourrait exploiter.

Points à retenir concrets

Voici ce qu'il faut faire pendant que cette situation évolue :

  • Gardez Avast Antivirus et Windows à jour automatiquement afin que tout correctif à venir s'installe sans délai.
  • N'exécutez pas et ne testez pas le code PoC publié publiquement, même à des fins de recherche, sur une machine de production.
  • Limitez le nombre de comptes utilisateurs disposant de privilèges d'administrateur sur les ordinateurs partagés ou familiaux.
  • Surveillez une déclaration officielle ou un avis de correctif de GenDigital et appliquez-le rapidement une fois publié.
  • Si vous gérez des systèmes dans un environnement professionnel, signalez cette affirmation de zero-day à votre équipe informatique ou de sécurité afin qu'elle puisse être suivie même sans CVE formel encore attribué.

Les divulgations de zero-day comme celle-ci rappellent qu'aucun logiciel, y compris les outils antivirus censés vous protéger, n'est à l'abri des vulnérabilités. Rester corrigé, minimiser les privilèges inutiles et suivre les mises à jour provenant de sources de sécurité crédibles restent les défenses les plus fiables pendant que l'industrie travaille à un correctif.