Une faille RCE affecte la plupart les ordinateurs de marque DELL qui tournent sous Windows
D’après les révélations d'un chercheur en sécurité
Le chercheur en sécurité Bill Demirkapi est l’auteur de la trouvaille qui a eu lieu au courant du mois d’octobre de l’année dernière. Il pointe une vulnérabilité dans Dell SupportAssist – un soft est utile pour le diagnostic, la mise à jour automatique des pilotes des machines et pour l’envoi de données y relatives vers des serveurs DELL pour les besoins de dépannage.
Le nombre d'utilisateurs impactés est en principe très élevé, car l'outil SupportAssist est l'une des applications que Dell préinstalle sur tous les portables et Desktops Dell livrés par l'entreprise avec un système d'exploitation Windows. Les systèmes vendus sans OS ne sont pas affectés.
Demirkapi a découvert que SupportAssist est une espèce de client .Net en communication avec un serveur au travers d’un port dont le numéro varie en fonction de celui disponible sur le système (le chercheur liste les ports 8884, 8883, 8886 et 8885). En s’appuyant sur une ingénierie inverse du code de l’outil, il a pu mettre à nu un certain nombre de failles : primo, au sein d’une fonction de gestion du referrer appelée par celle de base du service – ClientServiceHandler.ProcessRequest. « ProcessRequest appelle la fonction suivante pour s’assurer que je suis de Dell », commente le chercheur. Ci-dessous, le code de la fonction à problème.
Code:
2
3
4
5
6
7
8
9
10
11
De l’analyse de code menée par le chercheur en sécurité, il ressort qu’un tiers malveillant peut, à l’aide d’une technique de redirection vers un site pirate (DNS spoofing), s’appuyer sur son propre serveur pour détourner des requêtes issues d’adresses similaires à [aléatoire].dell.com. Demirkapi s’est appuyé sur ce fait pour mettre au point une preuve de concept dont il a publié le code et une vidéo. L’attaque s’appuie sur un leurre qui redirige la victime sur une page web mise au point en conséquence. Le code JavaScript en arrière-plan de cette dernière trompe ensuite l’outil Dell SupportAssist pour qu’il télécharge et exécute des fichiers depuis un emplacement contrôlé par l’attaquant (dans le jargon du domaine, on parle d’exécution de code à distance ou d’attaque RCE). Ce dernier bénéficie ensuite d’un accès complet à l’ordinateur de la victime puisque l’outil tourne avec les droits d’administrateur.
Code:
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
« Un attaquant non authentifié, partageant la couche d'accès réseau avec le système vulnérable, peut compromettre le système vulnérable en incitant un utilisateur à télécharger et exécuter des exécutables arbitraires via le client SupportAssist à partir de sites hébergés par l'attaquant », indique DELL sur l’avis de sécurité relatif à cette vulnérabilité.
La condition de partage de la couche d’accès réseau semble difficile à réaliser mais, après analyse, ne relève pas de l’impossible. Deux scénarios dans lesquels l'attaque pourrait fonctionner incluent les réseaux WiFi publics ou les réseaux de grandes entreprises où il y a au moins une machine compromise qui peut être utilisée pour lancer des attaques ARP et DNS contre les systèmes Dell voisins utilisant l'outil SupportAssist. Un autre scénario plausible est celui où des pirates informatiques parviennent à compromettre le routeur WiFi local des utilisateurs puis à modifier le trafic DNS directement sur le routeur.
Dell a mis à jour le logiciel SupportAssist fin avril 2019 à la suite d'un rapport initial reçu de Bill Demirkapi le 10 octobre 2018. L'entreprise recommande à tous ses clients de mettre à jour SupportAssist Client dès que possible, étant donné que toutes les versions antérieures à 3.2.0.90 et ultérieures sont vulnérables aux attaques d'exécution de code à distance.
Sources : billet de blog Demirkapi, avis de sécurité DELL, GitHub
Et vous ?
:fleche: Qu’en pensez-vous ?
:fleche: Quelle alternative à des systèmes similaires à Dell SupportAssist proposez-vous pour le maintien à jour d’un poste de travail sans s’exposer aux risques mentionnés ?
Voir aussi :
:fleche: Un étudiant gagne plus de 36 000 $ après avoir rapporté une vulnérabilité critique à Google pouvant entraîner une exécution de code à distance
:fleche: Des chercheurs découvrent une vulnérabilité dans des véhicules de Volkswagen et sa filiale Audi qui permet de lancer des attaques à distance
:fleche: Des chercheurs découvrent une vulnérabilité d'exécution de code à distance dans SQLite affectant les navigateurs basés sur Chromium
