Contenu
Ajout pour la version 1.2 (20/08/2024) :
Les découvreurs ont publié un programme d'exploitation pour ces vulnérabilités :
hxxps://github[.]com/SafeBreach-Labs/WindowsDowndate
Ajout pour la version 1.1 (14/08/2024) :
Dans le cadre du Patch Tuesday pour août 2024, Microsoft a publié un correctif pour la vulnérabilité CVE-2024-21302. Ce correctif installe un mécanisme optionnel qui permet de bloquer la désinstallation de correctifs de sécurité. Avant d'activer cette fonctionnalité, Microsoft recommande de lire attentivement l'article KB5042562 pour s'assurer que cela ne créera pas de problème dans l'environnement considéré.
Nota : Microsoft n'a pas encore publié de correctif pour la vulnérabilité CVE-2024-38202.
Annonce initiale (08/08/2024) :
Le 07/08/2024, lors de la conférence BlackHat USA-2024, un chercheur a présenté une attaque (baptisée Downdate) qui utilise 2 vulnérabilités jusque-là inconnues (CVE-2024-38202 et CVE-2024-21302) pour forcer la désinstallation de patches de sécurité (attaque de type "security downgrade ») sur des systèmes Windows 10 ou Windows 11.
L’attaquant doit disposer d’un compte sur la machine Windows visée pour exploiter ces vulnérabilités. Une fois ce "downgrade" réalisé, il peut utiliser des vieilles vulnérabilités pour acquérir les privilèges SYSTEM.
Microsoft a publié un bulletin de sécurité pour chacune des CVE mais n’a pas diffusé de correctifs (il y travaille). Il propose dans un des bulletins des actions de contrôle d'accès et d'audit, mais cela ne semble pas bloquer complément l’attaque.
Cette attaque va sans doute être largement médiatisée et c’est pour cette raison que nous publions ce message d’INFO. Le risque reste pour nous modéré, dans la mesure où l’attaque nécessite un compte et qu’il n’y a pas à notre connaissance de programme d’exploitation public pour ces vulnérabilités.
Nous restons attentifs à l’évolution de la situation et suivons ces vulnérabilités sous la référence FA-2024.0229.
Mots-clés (Cert-IST) : # Downdate