Une faille 0-day existe dans Windows, plus spécialement dans la manière dont le système gère le trafic SMB. Un prototype d’exploitation est déjà en circulation, le chercheur souhaitant manifestement réveiller Microsoft, qui n’a pas proposé de solution au cours des cinq derniers mois.

Le protocole SMB (Server Message Block) est utilisé par Windows depuis longtemps pour lire et écrire des fichiers depuis des serveurs équipés du système de Microsoft. Un protocole très connu et présent, au point que son implémentation libre, Samba, se retrouve dans bon nombre de distributions Linux.

Une faille dans la gestion du trafic SMB

Mais Windows a actuellement un problème dans sa gestion du trafic SMB. Si des données sont récupérées depuis un serveur Windows malveillant, le système ne contrôle pas correctement une réponse spécifiquement conçue pour comporter un trop grand nombre d’informations, selon la structure SMBv3 TREE_CONNECT. Comme indiqué par le CERT américain, un bug de type « null pointer dereference » se manifeste alors, entrainant une corruption de la mémoire. Son score CVSS (Common Vulnerability Scoring System) est de 7,8 sur 10.

Les conséquences sont potentiellement nombreuses. La faille peut être exploitée pour provoquer le plantage des postes clients (via le fichier mrxsmb20.sys), mais également à déclencher des attaques par déni de service (DoS) à distance. La vulnérabilité est exploitable sur n’importe quelle machine sous Windows 10, Windows 8.1, Server 2016 ou Server 2012 R2, même si toutes les mises à jour ont été installées.

Une faille initialement remontée en septembre

Le problème principal de la faille est que, non seulement elle est simple à exploiter, mais que le code pour le faire est disponible sur un dépôt GitHub depuis ce week-end. Microsoft a en effet connaissance du problème depuis environ cinq mois et n’a toujours pas publié de correctif pour régler la situation. Prochain espoir, les bulletins de sécurité du 14 février.

Le chercheur qui a découvert la faille, Laurent Gaffie, a en effet remonté le bug à Microsoft en septembre dernier. Dans une réponse donnée à Ars Technica, il indique que le correctif est pourtant prêt : il devait être publié dans les bulletins de décembre, mais l’éditeur a décidé de le repousser à février pour corriger en même temps d’autres problèmes liés à SMB.

Le chercheur critique l'attitude de Microsoft

Gaffie se montre très critique à l’égard de l’éditeur, expliquant que ce n’est pas la première fois que Microsoft « s’assoit » sur ses remontées de problèmes. Il a donc décidé de publier le concept d’exploitation une semaine avant la publication supposée des correctifs : « Je travaille gratuitement avec eux dans le but d’aider leurs utilisateurs. Quand ils s’assoient sur un bug comme celui-là, ils ne les aident pas ».

Il se montre particulièrement agacé par la communication de l’entreprise. Une porte-parole avait en effet indiqué dans une réponse il y a quelques jours que Microsoft était la seule entreprise à s’engager envers ses clients sur l’investigation des rapports de bugs, et qu’il était préférable d’utiliser la combinaison Windows 10/Edge pour plus de sécurité. Mais non seulement le premier point est faux (de nombreuses sociétés examinent les remontées de sécurité), mais Windows 10 est tout autant concerné par la faille SMB.

En attendant que le correctif soit déployé, le CERT américain recommande de bloquer les connexions SMB sortantes sur les ports TCP 139 et 445, ainsi que les ports UDP 137 et 138.