La sécurité de Windows contournée en modifiant un seul bit par des chercheurs

La sécurité des systèmes d’exploitation Windows de XP à la version actuelle de Windows 10 peut être contournée avec un seul bit

Microsoft a publié mardi une vulnérabilité d’escalade de privilèges dans ses bulletins de sécurité qui, selon les chercheurs, peut être exploitée par des acteurs malveillants pour contourner toutes les mesures de sécurité du système d’exploitation Windows en modifiant un seul bit.

Microsoft déclare qu’un attaquant qui parvient à se connecter au système ciblé peut « obtenir des privilèges élevés et lire des quantités arbitraires de mémoire du noyau », ce qui leur permettrait d’installer des logiciels, de visualiser et de modifier des données, et de créer de nouveaux comptes avec des droits administratifs complets.

Udi Yavo, le directeur technique de la société de sécurité Ensile, déclare que « La vulnérabilité (CVE-2015-0057) est classée comme « importante », ce qui pourrait donner aux attaquants un contrôle total sur les machines des victimes. »

Yavo a également déclaré qu’« un acteur malveillant qui accède à une machine Windows (par exemple, via une campagne de phishing) peut exploiter cette vulnérabilité pour contourner toutes les mesures de sécurité de Windows, contournant des mesures d’atténuation telles que le sandboxing, la séparation du noyau et la randomisation de la mémoire. »

Yavo a poursuivi : « Fait intéressant, l’exploitation nécessite de modifier uniquement un seul bit du système d’exploitation Windows. »

Le défaut existait dans le composant de l’interface graphique (GUI) du module Win32k.sys au sein du noyau Windows qui, entre autres, gère les barres de défilement verticales et horizontales de Windows. Le défaut réside en fait dans la fonction xxxEnableWndSBArrows qui pourrait altérer l’état des deux barres de défilement par un appel.

L’exploitation fonctionne sur toutes les versions du système d’exploitation, de Windows XP à la version 64 bits de la dernière version technique de Windows 10 (avec protections activées). La méthode d’attaque peut être utilisée pour contourner les protections du noyau telles que la prévention de l’exécution des données du noyau (DEP), la randomisation de l’espace d’adressage du noyau (KASLR), le contrôle d’intégrité obligatoire (MIC), la protection d’exécution en mode superviseur (SMEP) et la protection contre la déréférence NULL, a déclaré le chercheur.

« Nous avons montré qu’un bug mineur peut être utilisé pour obtenir un contrôle total sur n’importe quel système d’exploitation Windows », a déclaré Yavo. Il a également commenté que les efforts de Microsoft pour rendre son système d’exploitation plus sécurisé ont considérablement relevé le niveau et rendu l’écriture d’exploits fiables beaucoup plus difficile qu’auparavant. Malheureusement, ces méthodes ne vont pas arrêter les attaquants. Nous prédisons que les attaquants continueront à incorporer des exploits dans leurs kits de crime, rendant le compromis inévitable. »

Les chercheurs ont également publié une vidéo de preuve de concept (PoC) démontrant la vulnérabilité, bien qu’elle ne divulgue pas de code sensible, mais montre l’exploitation de l’escalade de privilèges sur une machine exécutant la version technique 64 bits de Windows 10.

Les problèmes de patch de Microsoft ne sont pas nouveaux, avant cela, en janvier, le chercheur en sécurité de Bromium, Jared DeMott, a démontré que les atténuations de l’isolement de tas et de délai libre peuvent être contournées.

La CVE-2015-0057 n’est pas la seule vulnérabilité intéressante corrigée par Microsoft mardi. La société a également publié des mises à jour pour un défaut critique d’exécution de code à distance (CVE-2015-0008) causé par la manière dont la stratégie de groupe reçoit et applique les données de politique lorsqu’un système joint à un domaine se connecte à un contrôleur de domaine. D’autre part, Microsoft n’a toujours pas abordé une vulnérabilité récemment divulguée de script intersite universel (UXSS) affectant Internet Explorer.