De la découverte d’une vulnérabilité dans un driver Windows à l’élévation de privilèges

Magazine
Marque
MISC
Numéro
62
Mois de parution
juillet 2012
Domaines


Résumé
Les protections mises en place pour tenter d’empêcher l’exploitation des vulnérabilités applicatives sont de plus en plus complexes. Les systèmes Windows récents introduisent en effet de nombreuses contre-mesures : DEP, ASLR, SafeSEH, SEHOP, \GS Stack-Cookie [1]. Devant la difficulté grandissante de l’exploitation des failles dans les programmes utilisateurs, les chercheurs de vulnérabilités se tournent de plus en plus vers les failles présentes en kernel. Contrairement à l’user land, les mécanismes de protection contre la corruption de la mémoire en kernel land sont plus rudimentaires et peuvent être contournés plus facilement.Cet article va présenter l’exploitation kernel au travers d’une étude de cas concret assez représentative : une vulnérabilité que j'ai découverte dans un driver de l’HIPS « Norman Security Suite 8 » et qui, comme nous allons le voir, permet une élévation de privilèges (Bulletin de sécurité : [2]).

1. Introduction

À l’instar des applications classiques, les drivers ne sont pas exempts de vulnérabilités. Les buffer overflows restent cependant plus rares au profit des failles de type « déréférencement de pointeurs ». Les bugs logiques tels que les « race conditions » peuvent aussi bien évidemment se retrouver dans les drivers.

Avant tout, il est toutefois important de noter que la plupart des drivers ne sont accessibles que dans un contexte local, donc les éventuelles failles qu'ils abritent ne peuvent être exploitées par un attaquant qu’après avoir gagné un accès à la machine. De telles vulnérabilités restent tout de même intéressantes pour permettre une élévation de privilèges vers le compte SYSTEM. Notons qu'il existe tout de même des cas d’exploitation à distance de drivers Windows, comme dans les drivers de cartes Wi-Fi [3].

L’ironie de l’histoire est que ce sont souvent des logiciels destinés à apporter une meilleure sécurité sur le...

Cet article est réservé aux abonnés. Il vous reste 96% à découvrir.
à partir de 21,65€ HT/mois/lecteur pour un accès 5 lecteurs à toute la plateforme
J'en profite


Articles qui pourraient vous intéresser...

Maîtriser le système de gestion de paquets APT

Magazine
Marque
Linux Pratique
Numéro
123
Mois de parution
janvier 2021
Domaines
Résumé

Quand un utilisateur fait ses premiers pas avec un système GNU/Linux, l’une de ses principales préoccupations est de savoir s’il lui sera possible d’installer des programmes, et surtout comment le faire simplement. Dans un premier temps, je place sur le bureau d’un ordinateur fraîchement passé sous la distribution Debian, un raccourci vers le logiciel Synaptic afin de leur faciliter la vie. Mais dès que possible, je leur montre comment installer/supprimer des logiciels avec des lignes de commandes saisies dans un terminal, car c’est à mon sens la voie la plus rapide et la plus efficace pour réaliser de telles manipulations. Voici donc un petit inventaire des différentes possibilités offertes par ce puissant outil de gestion de paquets qu’est APT...

Réinvention de la roue... des temporisations

Magazine
Marque
GNU/Linux Magazine
HS n°
Numéro
112
Mois de parution
janvier 2021
Domaines
Résumé

Les temporisations sont essentielles au sein des systèmes d'exploitation et dans certaines applications, pour déclencher des actions à l'échéance d'un délai. Il existe différents algorithmes pour les gérer de manière efficace. Cet article présente la fusion de deux d'entre eux, pour en tirer le meilleur.

Introduction au dossier : ARM - quels progrès pour la sécurité ?

Magazine
Marque
MISC
Numéro
113
Mois de parution
janvier 2021
Domaines
Résumé

Une fois n’est pas coutume, le sujet de ce dossier concerne une thématique avec une actualité « grand public » on ne peut plus récente : la percée significative des processeurs ARM dans le monde des ordinateurs personnels au travers de son adoption par la marque à la pomme pour sa nouvelle génération d’ordinateurs portables et fixes. Au-delà des promesses, plus de puissance avec une consommation moindre (certains résultats spécifiques sont impressionnants, en témoigne « Accelerating TensorFlow Performance on Mac » sur le blog officiel de TensorFlow), ce qui nous intéresse ici ce sont les questions de sécurité. Depuis quelques années maintenant, la course entre les techniques d’exploitation modernes et les contre-mesures associées voit un nouvel acteur intervenir : les extensions de sécurité matérielles.

Les difficultés du désassemblage sur ARM

Magazine
Marque
MISC
Numéro
113
Mois de parution
janvier 2021
Domaines
Résumé

Cet article aborde les problèmes spécifiques à l’architecture ARM qui se posent lorsqu’on désassemble un exécutable, c’est-à-dire lorsqu’on l’analyse statiquement pour en produire une représentation en langage assembleur. En effet, les particularités de l’architecture ARM peuvent rendre le désassemblage – déjà habituellement compliqué – particulièrement ardu.

Sécurité avancée des services Serverless (FaaS)

Magazine
Marque
MISC
Numéro
113
Mois de parution
janvier 2021
Domaines
Résumé

Les fonctions Serverless sont aujourd’hui une nouvelle tendance du cloud. Rapides et peu onéreuses, elles ne requièrent aucun entretien des infrastructures sous-jacentes par le client. Cependant, ce service entraîne un changement de modèle d’architecture, rendant les solutions de protection classiques inadaptées. Ce papier sensibilise aux nouvelles menaces du cloud et suggère différentes règles à suivre pour s’en prémunir.