Alors que Microsoft venait de publier un nombre record de correctifs de sécurité – couvrant plus d'un demi-millier de failles lors de sa mise à jour mensuelle de juillet – un chercheur en sécurité opérant sous le pseudonyme Nightmare Eclipse a rendu publique une nouvelle vulnérabilité non corrigée. Baptisée LegacyHive, cette faille de type zero-day cible le service de profils utilisateur de Windows et permet une élévation de privilèges sur toutes les versions grand public et serveur du système d'exploitation, y compris celles qui ont reçu les toutes dernières mises à jour.

La divulgation est intervenue moins d'une heure après la publication des correctifs, en exécution d'une menace formulée publiquement par le chercheur. Ce dernier, en conflit ouvert avec l'éditeur de Redmond, n'avait pas signalé la vulnérabilité au préalable. Il a mis en ligne une preuve de concept (PoC) fonctionnelle, bien que bridée, afin de limiter les risques d'exploitation massive et immédiate. Selon les analystes de ThreatLocker, cette version limitée ne permet pas en elle-même de récupérer des identifiants ni d'exécuter du code avec les plus hauts privilèges. Cependant, plusieurs experts, dont Will Dormann de Tharros Labs, estiment que le mécanisme sous-jacent constitue une « primitive puissante » pouvant être détournée par des attaquants déterminés.

Une faille au cœur de la gestion des profils La vulnérabilité réside dans le composant profsvc, un service système qui gère le chargement et le déchargement des profils utilisateur lors des ouvertures de session. Ce service s'exécute avec les privilèges SYSTEM, le niveau d'accès le plus élevé sur Windows. Le problème survient au moment où le système tente de charger la ruche de registre d'un utilisateur qui n'est pas encore connecté. Pour ce faire, Windows emploie le contexte de sécurité SYSTEM, et LegacyHive exploite cette mécanique pour permettre à un utilisateur disposant de droits limités de modifier la ruche de registre d'un compte administrateur. Concrètement, l'attaquant peut altérer la ruche de classes (classes registry hive) d'un compte cible, ce qui lui offre la possibilité de manipuler les associations de fichiers et d'exécuter du code arbitraire lors de la prochaine connexion de cet utilisateur. Le chercheur précise que l'exploitation nécessite de connaître les identifiants d'au moins un autre compte sur la machine – qu'il soit administrateur ou non – ainsi que le nom d'utilisateur d'un troisième compte.

Pas de correctif ni d'identifiant CVE pour l'heure À ce jour, Microsoft n'a attribué aucun identifiant CVE à cette vulnérabilité, et aucun correctif officiel n'est disponible. L'entreprise a indiqué qu'elle analysait la situation, mais n'a pas communiqué de calendrier pour une éventuelle résolution. En attendant, la seule parade proposée par la communauté de la cybersécurité consiste à exécuter un script de détection, développé par des chercheurs indépendants, qui permet d'identifier les tentatives d'exploitation de LegacyHive. Ce script surveille les modifications suspectes dans les ruches de registre des profils utilisateur.

Un mode opératoire désormais habituel Cette divulgation s'inscrit dans une série d'actions menées par Nightmare Eclipse, également connu sous les alias Chaotic Eclipse ou MSNightmare. Depuis plusieurs mois, ce chercheur anonyme publie des failles zero-day dans les heures suivant le Patch Tuesday. Il s'était engagé à livrer une divulgation particulièrement cinglante pour le mois de juillet, promesse tenue. Les précédentes vulnérabilités divulguées incluaient notamment RoguePlanet, rendue publique en juin. Ce mode opératoire, qui prive Microsoft de tout délai pour élaborer un correctif, expose les utilisateurs à des risques accrus entre le moment de la divulgation et la publication d'un éventuel patch.