Deux vulnérabilités Windows encore sans correctif permettent d'obtenir les privilèges système. L'une vise Defender, l'autre la gestion USB.
En bref
- Deux failles Windows restent sans correctif
- Elles peuvent donner les privilèges système
- Defender et l’USB sont visés
Ce qui frappe ici, c’est le point commun. Dans un cas, Microsoft Defender peut servir de tremplin. Dans l’autre, c’est l’automatisation USB de Windows qui fait le travail. Résultat, deux voies très שונות en apparence, mais la même conséquence possible, un accès en privilèges système sur des machines encore non corrigées.
Quand Defender devient le levier de l’attaque
La première faille, baptisée ShieldBreak, a été révélée par le bug hunter Nightmare Eclipse. Elle contourne un précédent correctif lié à RoguePlanet et toucherait des systèmes déjà patchés sous Windows 10, Windows 11 et Windows Server.
Des chercheurs ont refait les tests et confirmé l’exploit. D’après Kevin Beaumont, l’attaque s’appuie sur un user-mode callback hook pour modifier des contenus de fichiers pendant un scan de cloud-hydration de Defender via la Cloud Filter API. En gros, si Defender est actif, il peut devenir la pièce qui permet ensuite d’élever les droits jusqu’au niveau System. Will Dormann précise d’ailleurs que Defender doit être activé pour que l’exploit fonctionne.
Le risque USB va bien au-delà d’une simple clé branchée
L’autre faille, présentée à DEF CON 34 par Alejandro Hernando et Borja Martinez, porte le nom de Plug and Pwn. Cette fois, l’attaque vise la façon dont Windows identifie un périphérique USB, récupère les pilotes adaptés puis installe des logiciels avec le compte Authority/System.
Le principe est assez rude. L’attaquant émule des périphériques USB pour pousser Windows à installer des packages fournisseurs contenant des composants exploitables, ce qui ouvre ensuite la voie à une élévation de privilèges. Et ce n’est pas forcément une histoire de clé branchée sur votre PC, quand même. Certains scénarios évoqués ne demandent ni interaction de l’utilisateur ni matériel USB physique local. Le point faible vient du co-installer, chargé de télécharger et d’installer automatiquement logiciels et pilotes lors de l’insertion d’un nouvel appareil.
La variante montrée ici suit le chemin d’installation natif de Windows, pas celui d’un fournisseur précis. Les attaques à distance semblent surtout possibles quand la redirection USB est activée, un cas fréquent dans les environnements de VDI.
En attendant Microsoft, les marges de défense sont limitées
Pour ShieldBreak, la parade temporaire la plus directe consiste à désactiver Microsoft Defender. Kevin Beaumont a aussi publié trois mécanismes de détection pour tenter de repérer l’attaque en cours, à condition d’avoir le niveau technique pour les exécuter.
Côté Plug and Pwn, il est possible d’ajouter la valeur de registre DisableCoInstallers en DWORD-32 et de la régler sur 1. Ça ne bloque pas tout, mais ça casse une partie des scénarios. Alejandro Hernando recommande aussi d’associer cette mesure à des restrictions d’installation de périphériques, à des allow-lists par hardware ID et à la désactivation de la redirection PnP sur les hôtes RDP et VDI qui n’en ont pas besoin.
Mais le vrai signal, pour l’écosystème, est ailleurs. Deux fonctions pensées pour protéger ou fluidifier l’usage, Defender et l’installation automatique des périphériques, deviennent ici des surfaces d’attaque. Pour les postes sensibles, on regarde donc moins la commodité, et beaucoup plus la réduction du périmètre exposé.
