Microsoft a confirmé vendredi travailler activement sur un patch destiné à colmater « ShieldBreak », la vulnérabilité zero-day qui affecte Microsoft Defender et permet une élévation de privilèges via les clés de licence Windows. La firme de Redmond, souvent prompte à minimiser les brèches dans son arsenal défensif, a cette fois reconnu la gravité du problème avec une célérité inhabituelle.
La faille, identifiée pour la première fois mi-août, exploite un mécanisme lié à la gestion des clés système de Windows pour contourner les protections de Defender et obtenir des droits administrateur sur la machine ciblée. Un attaquant disposant d’un accès local peut ainsi escalader ses privilèges jusqu’au niveau SYSTEM, le saint des saints du système d’exploitation, rendant caduques à peu près toutes les barrières de sécurité en place. Le vecteur d’attaque repose sur une interaction mal sécurisée entre le moteur antimalware et certains composants du noyau Windows, un défaut d’architecture que les chercheurs en sécurité qualifient déjà de profondément enraciné.
Que Microsoft reconnaisse publiquement l’existence d’un zero-day dans son propre outil de protection endpoint n’est jamais anodin pour les administrateurs systèmes qui s’appuient sur Defender comme première ligne de défense. Des centaines de millions de postes Windows tournent avec cette solution activée par défaut, et chaque jour sans correctif élargit la surface d’exposition. Les équipes de sécurité en entreprise se retrouvent dans une position inconfortable, contraintes d’appliquer des mesures de contournement (restriction des accès locaux, surveillance renforcée des logs d’élévation de privilèges) en attendant la mise à jour officielle.
Le calendrier de publication du correctif reste encore flou. Microsoft n’a pas précisé si le patch serait intégré au prochain Patch Tuesday ou distribué en urgence hors cycle, une procédure réservée aux vulnérabilités les plus sévères. L’éditeur s’est contenté d’indiquer que ses ingénieurs travaillaient « en priorité » sur le dossier, formule qui, dans le lexique corporate de Redmond, peut signifier aussi bien 48 heures que deux semaines. Les entreprises dotées de politiques de mise à jour strictes feraient bien de préparer dès maintenant leurs plans de déploiement pour ne pas perdre un cycle supplémentaire une fois le correctif disponible.
La découverte de « ShieldBreak » s’inscrit dans une tendance qui devrait inquiéter au-delà du seul périmètre Microsoft. Les solutions de sécurité endpoint, parce qu’elles opèrent avec des privilèges élevés et interagissent intimement avec le noyau, constituent des cibles de choix pour les attaquants sophistiqués. Transformer le bouclier en porte d’entrée… voilà qui résume assez bien le paradoxe auquel l’industrie de la cybersécurité fait face depuis plusieurs années, du moins lorsque les éditeurs persistent à accorder à leurs propres outils une confiance excessive dans la chaîne de privilèges.
A lire également
Les administrateurs systèmes ont tout intérêt à surveiller de près le Security Response Center de Microsoft dans les jours qui viennent, car la fenêtre d’exploitation de « ShieldBreak » ne se refermera pas d’elle-même.
