Un chercheur a publié du code d'exploit fonctionnel pour une faille Windows non corrigée qui donne à un attaquant un accès SYSTEM, et Microsoft indique qu'il enquête. L'entreprise rapporte n'avoir constaté aucune attaque jusqu'à présent. Néanmoins, un exploit zero-day Windows public donnant un accès SYSTEM change la donne : une fois le code librement disponible, il est plus facile pour d'autres de l'étudier, de le copier et de l'adapter.
Cet article couvre ce qui a été rapporté, pourquoi le type de faille importe, et ce que vous pouvez raisonnablement faire en attendant un correctif.
Ce que fait l'exploit zero-day Windows à accès SYSTEM et ce que nous savons à ce jour
Les informations sont brèves, voici donc ce qui est confirmé :
- Un chercheur a publié du code d'exploit pour une vulnérabilité Windows.
- La faille n'est pas corrigée, ce qui en fait un zero-day.
- Un exploit réussi donne un accès SYSTEM, le niveau de privilège le plus élevé sur une machine Windows.
- Microsoft enquête sur le problème.
- Microsoft n'a pas constaté d'attaques l'utilisant jusqu'à présent.
Ce que nous ne savons pas est tout aussi important. La source ne précise pas quelles versions de Windows sont affectées, si une date de correctif a été fixée, ni à quel point le code est fiable selon les différentes configurations. Nous ne spéculerons pas sur ces détails. Jusqu'à ce que Microsoft publie un avis, traitez toute affirmation sur la portée avec prudence.
Pourquoi l'accès SYSTEM compte même sans attaque à distance
Les failles qui accordent un accès SYSTEM sont généralement décrites comme des bugs d'élévation de privilèges. En termes simples, elles permettent à quelqu'un qui a déjà un pied sur un ordinateur, comme un compte à faibles privilèges ou un logiciel malveillant, de prendre bien plus de contrôle qu'il ne devrait en avoir. Elles ne permettent pas, à elles seules, à un inconnu de s'introduire via internet.
Cette distinction est utile, mais elle ne doit pas mener à la complaisance. Un contrôle au niveau SYSTEM peut permettre à un attaquant de désactiver des outils de sécurité, d'accéder à des données protégées, de modifier des paramètres et d'installer des logiciels qui persistent sur l'appareil. Les attaquants enchaînent souvent les bugs : l'un leur ouvre la porte, par exemple via un téléchargement malveillant ou une pièce jointe de phishing, et une faille d'élévation de privilèges comme celle-ci leur remet les clés.
Le risque réaliste pour la plupart des gens est donc indirect. L'exploit compte surtout si quelque chose d'autre a déjà mal tourné sur votre appareil, ou si vous partagez un ordinateur avec d'autres, utilisez une machine professionnelle, ou exécutez des logiciels provenant de sources en lesquelles vous n'avez pas pleinement confiance.
Comment cela s'inscrit dans le schéma des publications publiques de zero-day Windows
Il ne s'agit pas d'un événement isolé. Des chercheurs ont publié à plusieurs reprises du code d'exploit pour des failles Windows avant que Microsoft n'ait livré de correctifs, et nous avons couvert plusieurs de ces cas. Le zero-day MiniPlasma impliquait également une preuve de concept publiée publiquement pour un problème d'élévation de privilèges Windows accordant un accès SYSTEM. Un autre cas impliquait un chercheur ayant un historique bien documenté de publication d'exploits, comme le rapporte notre article sur la façon dont Nightmare Eclipse a publié un autre zero-day Windows.
Le fil conducteur est l'écart entre la divulgation et un correctif. Un code public réduit l'effort nécessaire pour que d'autres s'appuient dessus, même lorsque le chercheur original n'a pas d'intention malveillante. C'est pourquoi la déclaration de Microsoft selon laquelle il ne constate aucune attaque est rassurante mais temporaire. Elle décrit le présent, pas une garantie.
Ce que cela signifie pour vous
Pour la plupart des utilisateurs à domicile, il n'y a pas lieu de paniquer. Ce type de faille nécessite qu'un attaquant exécute déjà du code sur votre machine. Votre meilleure protection est de rendre cette première étape plus difficile et de limiter les dégâts si elle se produit.
Si vous gérez des ordinateurs pour une famille, une petite entreprise ou une équipe, la priorité est un peu plus élevée. Les machines partagées et les comptes disposant de permissions étendues donnent plus de prise à un bug d'élévation de privilèges. Surveillez l'avis de Microsoft et appliquez rapidement toute mise à jour ou consigne d'atténuation dès qu'elle paraît.
Comment réduire votre risque jusqu'à ce que Microsoft corrige
Vous ne pouvez pas installer un correctif qui n'existe pas encore, mais vous pouvez réduire votre exposition :
- Gardez Windows Update activé. Lorsque Microsoft publie un correctif, vous voulez l'obtenir rapidement. Gardez également votre antivirus et vos autres logiciels à jour.
- Limitez les comptes administrateur. Utilisez un compte standard pour le travail quotidien et réservez l'accès administrateur aux tâches qui en ont besoin. Cela réduit ce que les logiciels malveillants peuvent faire au départ.
- Évitez les fichiers non fiables. Soyez prudent avec les pièces jointes d'e-mails, les logiciels piratés, les téléchargements inconnus et les liens provenant d'expéditeurs inconnus, car ce sont des moyens courants d'obtenir ce premier pied.
- Surveillez les consignes officielles. Fiez-vous aux avis de Microsoft eux-mêmes pour les étapes d'atténuation plutôt qu'aux affirmations de tiers ou aux correctifs non vérifiés.
- Sauvegardez les données importantes. Une sauvegarde récente stockée hors ligne ou dans un emplacement séparé limite les dommages de toute compromission.
L'essentiel
Un exploit zero-day Windows public donnant un accès SYSTEM est une raison de prudence raisonnable, pas d'alarme. Microsoft enquête et rapporte aucune attaque, mais un code public raccourcit la fenêtre avant que d'autres tentent de l'utiliser. Gardez Windows Update activé, limitez les comptes administrateur et évitez les fichiers non fiables en attendant un correctif. Pour plus de contexte sur des cas récents similaires, lisez notre couverture de l'exploit au niveau SYSTEM MiniPlasma et des publications de Nightmare Eclipse.
