Un Bug-hunter révèle une autre faille Zero-days

Soyez plus prudent que jamais....

Update 24.05.2019 : SandboxEscaper Drops Three More Windows Exploits, IE Zero-Day (Threatpost)

Zero days windows 10

Par Chris Williams, rédacteur en chef 22 mai 2019 à 03:59

La vulnérabilité peut être exploitée pour transformer les utilisateurs en stars du système, aucun correctif n'est encore disponible.

Un chasseur de bogues qui avait précédemment divulgué des failles de sécurité de Windows a révélé publiquement une autre vulnérabilité de type "zero-day" dans les derniers systèmes d'exploitation de Microsoft.

Le trou découvert peut être exploité par les logiciels malveillants et les utilisateurs malveillants connectés pour obtenir des privilèges de niveau système sur Windows 10 et les versions récentes de la version serveur, ce qui leur permet de prendre le contrôle total de la machine. Aucun correctif n'existe pour ce bogue, dont les détails et le code d'exploitation ont été partagés en ligne ce mardi pour que quiconque puisse les utiliser et en abuser.

La faille a été découverte, et révélée sur GitHub, propriété de Microsoft, par un net-citoyen passant par le biais du pseudonyme SandboxEscaper. Elle a déjà laissé tomber des zero-days Windows qui peuvent être exploités pour supprimer ou modifier des composants du système d'exploitation, augmenter les privilèges locaux, etc.

Ce dernier fonctionne en abusant de l'outil schtasks de Windows, conçu pour exécuter des programmes à des heures programmées, ainsi que des bizarreries dans le système d'exploitation.

Il semble que le code d'exploitation importe un ancien fichier de tâches dans le Planificateur de tâches de Windows à l'aide de schtasks, créant une nouvelle tâche, puis supprime le fichier de cette nouvelle tâche dans le dossier Windows. Ensuite, il crée un lien vers le système de fichiers à partir duquel le fichier de la nouvelle tâche a été créé dans pci.sys, l'un des fichiers pilotes du niveau du noyau Windows, puis exécute à nouveau la même commande schtasks. Cela supprime les permissions d'accès de pci.sys afin que l'utilisateur puisse les modifier et les écraser, ouvrant ainsi la porte à une exécution privilégiée du code.

L'exploit, tel qu'il est implémenté, a besoin de connaître un nom d'utilisateur et un mot de passe valides sur la machine pour continuer, il semble. qu'Il peut être modifié et reconstruit à partir de son code source pour cibler d'autres fichiers système, autres que pci.sys.

Will Dormann, analyste de vulnérabilité au CERT Coordination Center, qui fait partie du Software Engineering Institute financé par le gouvernement américain, a confirmé que l'exploit fonctionne avec une version entièrement patchée et à jour de Windows 10, 32 et 64 bits, ainsi que de Windows Server 2016 et 2019. Les windows 8 et 7 ne semblent pas affectées par l'exploit tel qu'il est actuellement.

Voici une vidéo de preuve de concept de l'attaque en action :

SandboxEscaper just released this video as well as the POC for a Windows 10 priv esc pic.twitter.com/IZZzVFOBZc
— Chase Dardaman (@CharlesDardaman) May 21, 2019

Pour être généreux envers Microsoft, les failles d'escalade des privilèges sont à peine une douzaine dans Windows : le géant du logiciel les corrige chaque mois dans son système d'exploitation.

Et il y aura probablement encore plus de correctifs - SandboxEscaper a apparemment plus de failles zéro-day dans sa manche en dehors de cette dernière vulnérabilité : "J'ai quatre autres bugs non corrigés d'où vient celui-là. Trois LPE [escalades de privilèges locaux], tous les exécutables de code gagnant en tant que système, pas de bugs boiteux ou quoi que ce soit, et un échappement de sand box," s'est-elle vantée mardi.

Elle est aussi plutôt fâchée contre l'Occident et la société en général, et espère vendre certains de ses exploits à des mécréants non occidentaux, bien qu'elle n'ait pas spécifié de devise : "Si des gens non occidentaux veulent acheter des LPE, dites-le-moi. (Windows LPE seulement, ne faisant pas d'autres recherches ni intéressé à le faire). Ne se vendra pas moins de 60k pour un LPE. Je ne dois rien à la société. Je veux juste devenir riche et vous permettre de mettre un doigt à tous ces connards de l'Ouest."

Le chercheur s'est tout à l'heure plaint que "la société humaine me dégoûte profondément", et a parlé avec beaucoup de lyrisme de l'exploration des sentiers dans le nord de l'Angleterre.

Les porte-parole de Microsoft ont refusé de commenter. ®

Source : Theregister.co.uk

Vous aimez ce que vous lisez ? Notre travail est gratuit et indépendant, mais il a un coût. Vous pouvez nous soutenir librement grâce à un don via Tipeee ou PayPal. Si vous ne pouvez pas nous aider financièrement (ce que je peux comprendre parfaitement), vous pouvez partager les articles sur vos réseaux sociaux, et parler du site autour de vous. Merci à celles et ceux qui rendent tout cela possible.

Ajouter Crashdebug.fr à Google