Une vulnérabilité ‘jour zéro’ d’élévation de privilèges a été identifiée dans le planificateur de tâches Windows

Le planificateur de tâches Microsoft Windows contient une vulnérabilité dans la gestion d'ALPC (Advanced Local Procedure Call). L’exploitation de cette vulnérabilité permettrait à un utilisateur local d'obtenir des privilèges SYSTEM. Afin de pouvoir mener cette attaque avec succès, l'attaquant doit disposer des droits d’exécution de code au préalable.

La vulnérabilité est due à une mauvaise vérification des autorisations par la fonction « SchRpcSetSecurity » de l'API du planificateur de tâches . Ainsi, tout utilisateur - même un invité - peut l'appeler et modifier les droits d'accès aux fichiers en local.

Informations
+

Risque

  • Élévation de privilèges

Criticité

  • CVSS v3 : 6.8

Existence d’un code d’exploitation de la vulnérabilité

  • Le code d'exploitation public fonctionne sur les systèmes Windows 10 et Windows Server 2016 64 bits. La compatibilité avec d'autres versions de Windows peut être possible avec la modification du code source exploit accessible au public.

Composants & versions vulnérables

  • Planificateur de tâches Windows.

CVE

  • La vulnérabilité n'est pas encore référencée

Recommandations
+

Correctifs

  • Un correctif sera publié le 11 Septembre.

Solution de contournement

  • Le CERT-FR recommande de bloquer l'accès en écriture au répertoire C:\Windows\Tasks par le biais d'une Access Control Entry (ACE). Cela peut être réalisé grâce à la commande :

cacls c:\Windows\Tasks /S:"D:PAI(D;OICI;DCLC;;;WD)(A;;0x1200ab;;;AU)(A;;FA;;;BA)(A;OICIIO;GA;;;BA)(A;;FA;;;SY)(A;OICIIO;GA;;;SY)(A;OICIIO;GA;;;CO)"

Cette mesure est réversible, et peut être désactivée par la commande :

cacls c:\Windows\Tasks /S:"D:PAI(A;;0x1200ab;;;AU)(A;;FA;;;BA)(A;OICIIO;GA;;;BA)(A;;FA;;;SY)(A;OICIIO;GA;;;SY)(A;OICIIO;GA;;;CO)"