Des chercheurs en cybersécurité ont révélé de multiples vulnérabilités dans un logiciel de pilote tiers développé par Eltima qui ont été « héritées involontairement » par des solutions de bureau en nuage comme Amazon Workspaces, Accops et NoMachine et pourraient fournir aux attaquants un moyen d’effectuer un éventail d’activités malveillantes.

« Ces vulnérabilités permettent aux attaquants d’élever les privilèges leur permettant de désactiver les produits de sécurité, d’écraser les composants du système, de corrompre le système d’exploitation ou d’effectuer des opérations malveillantes sans entrave », chercheurs SentinelOne mentionné dans un rapport partagé avec The Hacker News.

Les failles ont depuis été corrigées dans Amazon Nimble Studio AMI, Amazon NICE DCV, Amazon WorkSpaces, Amazon AppStream, NoMachine, Accops HyWorks, Accops HyWorks DVM Tools, Eltima USB Network Gate, Amzetta zPortal Windows zClient, Amzetta zPortal DVM Tools, FlexiHub et Donglify.

À la base, les problèmes résident dans un produit développé par Eltima qui offre des capacités « USB sur Ethernet » et permet aux services de virtualisation de bureau comme Amazon WorkSpaces de rediriger les périphériques USB connectés tels que les webcams vers leur bureau distant.

Plus précisément, les vulnérabilités peuvent être attribuées à deux pilotes responsables de la redirection USB – « wspvuhub.sys » et « wspusbfilter.sys » – conduisant à un scénario de débordement de tampon pouvant entraîner l’exécution de code arbitraire avec des privilèges en mode noyau .

Preuve de concept BSoD

« Un attaquant ayant accès au réseau d’une organisation peut également accéder pour exécuter du code sur des systèmes non corrigés et utiliser cette vulnérabilité pour obtenir une élévation locale de privilèges », a noté la société de cybersécurité. « Les attaquants peuvent alors tirer parti d’autres techniques pour pivoter vers le réseau plus large, comme le mouvement latéral. »

Cette découverte marque la quatrième série de vulnérabilités de sécurité affectant les pilotes logiciels qui ont été découvertes par SentinelOne depuis le début de l’année.

Plus tôt en mai, la société basée à Mountain View a révélé un certain nombre de vulnérabilités d’escalade de privilèges dans le pilote de mise à jour du micrologiciel de Dell nommé « dbutil_2_3.sys » qui n’ont pas été divulguées pendant plus de 12 ans. Puis, en juillet, il a également rendu public un défaut de débordement de tampon de haute gravité affectant « ssport.sys » et utilisé dans les imprimantes HP, Xerox et Samsung qui n’avaient pas été détectées depuis 2005.

Et en septembre, SentinelOne a rendu publique une faille de haute gravité dans le logiciel pilote HP OMEN « HpPortIox64.sys » qui pourrait permettre aux acteurs malveillants d’élever les privilèges en mode noyau sans nécessiter d’autorisations d’administrateur, leur permettant de désactiver les produits de sécurité, d’écraser les composants du système, et même corrompre le système d’exploitation.