Microsoft a publié un correctif pour une faille zero-day il y a six mois, mais cela n'a pas fonctionné

Microsoft a corrigé une vulnérabilité zero-day en juin 2020, mais l’entreprise a bâclé le travail. Les chercheurs en sécurité du Project Zero de Google ont montré que les cybercriminels pouvaient toujours utiliser le zero-day, malgré ce correctif.

Les exploits zero-day sont une affaire sérieuse; en conséquence de quoi, la plupart du temps, les entreprises publient rapidement un correctif. Le correctif de juin 2020 pour Windows 8.1 et Windows 10 couvrait la vulnérabilité zero-day CVE-2020-0986, du moins c’était son but.

«Une vulnérabilité d’élévation de privilèges existe lorsque le noyau Windows ne parvient pas à gérer correctement les objets en mémoire», lit-on dans la description de la vulnérabilité. «Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire en mode noyau. Un attaquant pourrait alors installer des programmes; afficher, modifier ou supprimer des données; ou créez de nouveaux comptes avec tous les droits d’utilisateur. »

Au fur et à mesure des résultats, une solution rapide à un problème aussi important est plus que souhaitable, mais les chercheurs en sécurité ont découvert que le correctif ne fonctionnait pas. Non seulement ce correctif est caduque, mais la vulnérabilité n’est toujours pas corrigée à ce jour, et les pirates ont déjà utilisé ce zero-day dans au moins un incident.

“Le problème initial était une déréférence de pointeur arbitraire qui permettait à l’attaquant de contrôler les pointeurs src et dest vers un memcpy”, a déclaré Maddie Stone du Project Zero chez Google. “Le soit-disant correctif a simplement décalé les pointeurs, ce qui permet toujours de contrôler les arguments du memcpy.”

«Il y a eu trop d’occurrences cette année de vulnérabilités zero-day connues pour être activement exploitées et corrigées de manière incorrecte ou incomplète. Quand les zero-day ne sont pas complètement corrigés, les cybercriminels peuvent réutiliser leurs connaissances des méthodes de failles et exploits pour développer facilement de nouveaux zero-day», a-t-elle expliqué.

Un nouveau correctif est en cours d’élaboration et devrait être disponible avec la mise à jour de janvier. Jusqu’à ce que cela soit fait, de nombreuses machines Windows restent vulnérables.