Le mystérieux compte SandboxEscaper sur GitHub a publié récemment les détails de trois failles 0-day dans Windows.

La première a été publiée mardi et est de type escalade de privilèges. Elle réside dans le Windows Task Scheduler et peut permettre à un utilisateur authentifié localement d’obtenir les droits SYSTEM.

La deuxième, également de type escalade, a été publiée hier. Elle se trouve cette fois dans le service Windows Error Reporting. Exploitée, elle pourrait autoriser un utilisateur à modifier des fichiers normalement hors d’atteinte.

La dernière, elle aussi publiée hier, affecte Internet Explorer 11. Elle pourrait permettre à un code JavaScript d’être exploité avec des privilèges plus élevés que ce que ne permet la sandbox.

Ces trois nouvelles failles viennent s’ajouter aux quatre autres dont les détails avaient été publiés au cours de l’année écoulée. Aucune des sept vulnérabilités ne peut être exploitée à distance.

Elles ne sont donc pas critiques, mais restent sérieuses puisqu’un pirate pourrait gagner des droits administrateur depuis un compte classique s’il devait en obtenir un à distance. En outre, ces failles peuvent être éventuellement exploitées en conjonction d’autres brèches pour obtenir cette fois un scénario d’attaque distante.

Microsoft n’a pas encore réagi à ces informations.