Google a révélé un bogue Zero-Day affectant le système d'exploitation Windows

0


Le directeur du Google Project Zero a révélé un bogue zero-day dans le système d'exploitation Windows, qui est activement exploité. La vulnérabilité affecte Windows 7 à Windows 10 OS, et se forme comme une attaque en deux parties qui peut être combinée avec un bogue Chrome . Bien que le problème de Chrome ait été résolu par une mise à jour, Microsoft n’a pas encore répondu à son bogue Windows.

Un bogue Windows permet une attaque RCE

Bien que les vulnérabilités des logiciels soient courantes de nos jours, un OEM fiable est déterminé par le temps qu'il a mis pour corriger cette vulnérabilité. Les chercheurs en sécurité et les chasseurs de bogues divulguent tout ce qu'ils ont découvert à l'OEM concerné pour obtenir des crédits, mais s'ils ne répondent pas dans le délai imparti, ils procèdent quand même à la publication.

L'une de ces publications est celle de Google, dont l'équipe Project Zero a publié un rapport sur la vulnérabilité de Windows. Le chef de l'équipe, Ben Hawkes a tweeté à propos d'un bug zero-day dans Windows, suivi comme CVE-2020-17087 . Cela pourrait faire partie d’une attaque en deux étapes, dans laquelle un attaquant peut l’enchaîner à un bogue dans Google Chrome ( CVE-2020-15999 ).

Le bogue Chrome découvert la semaine dernière permettra à un attaquant d'exécuter un code malveillant et a été corrigé avec une mise à jour Chrome ( v86.0.4240.111 ) la semaine dernière. Mais, il a maintenant fait surface un bogue dans le noyau Windows, affectant toutes les versions des systèmes Windows 7 aux systèmes Windows 10. Cela permet à un attaquant d'exécuter le code malveillant dans le système d'exploitation Windows en échappant au conteneur de Chrome.

Appelé Sandbox Escape un attaquant peut exploiter à la fois les bogues pour exécuter un code malveillant dans Chrome obsolète et finalement passer dans le système d'exploitation sous-jacent. Alors que Ben a informé Microsoft la semaine dernière et leur a donné une semaine pour répondre avec un correctif, Microsoft ne s'est pas encore présenté. Ainsi, il a maintenant documenté le problème avec un code de preuve de concept.

Cette révélation a même été approuvée par Shane Huntley le directeur du Threat Analysis Group (TAG) de Google. Bien que Ben n'ait pas mentionné qui exactement exploitaient les bogues, il pourrait s'agir principalement de pirates informatiques soutenus par l'État-nation. Microsoft pourrait proposer un correctif pour cela le 10 novembre, lors de la publication de la mise à jour de sécurité de mardi prochain.

Leave A Reply

Your email address will not be published.