Découvrez BlueHammer, une vulnérabilité d'élévation de privilèges Windows divulguée publiquement par un chercheur suite à des désaccords avec Microsoft. Informez-vous sur les risques et la réponse de l'entreprise.
© RusPhotoBank
Un nouveau débat secoue les milieux de la cybersécurité à propos des politiques de divulgation des vulnérabilités. Un chercheur utilisant le pseudonyme Chaotic Eclipse a publié publiquement les détails d'un zero-day Windows, invoquant son mécontentement face à la gestion du problème par le Microsoft Security Response Center. Baptisée BlueHammer, cette vulnérabilité est une faille d'élévation de privilèges locale.
Selon le chercheur, il a initialement signalé le problème à Microsoft via les canaux officiels. Mais le processus d'examen et la communication du MSRC se sont avérés si insatisfaisants qu'il a choisi de publier les détails de manière indépendante. Cette démarche va à l'encontre de la pratique acceptée de la divulgation coordonnée, où les développeurs disposent d'un délai pour corriger les bugs avant leur publication publique.
D'un point de vue technique, BlueHammer exploite une combinaison de vulnérabilités TOCTOU (time-of-check to time-of-use) et de confusion de chemins. Une attaque réussie pourrait permettre d'accéder à la base de données SAM, où sont stockés les hachages des mots de passe des utilisateurs locaux, ce qui entraînerait une élévation des privilèges au niveau SYSTEM et conférerait un contrôle total du système.
Le chercheur précise que l'exploitation de cette vulnérabilité nécessite un accès local préalable à l'appareil et ne fonctionne pas de manière fiable dans tous les environnements, notamment sur les versions serveur de Windows. Si cela réduit l'ampleur de la menace, cela n'en élimine pas la gravité. Microsoft a confirmé qu'il enquêtait sur le problème et préparait un correctif, réitérant son engagement en faveur d'une divulgation responsable des vulnérabilités. L'entreprise a souligné que son objectif était de traiter de telles failles avant leur divulgation publique afin de minimiser les risques pour les utilisateurs.