Eran Shimony de Cyberark a découvert une faille dans SupportAssist, le programme de dépannage préinstallé sur la plupart des derniers PC Windows de Dell, rapporte The Register. SupportAssist analyse le matériel et les logiciels du système et, lorsqu’un problème est détecté, il envoie à Dell les informations système nécessaires au dépannage en ligne.
La faille, dont le degré de gravité est qualifié d’élevé, concerne les PC professionnels dotés des versions SupportAssist 2.0 à 2.1.3 et les PC domestiques équipé des versions 2.0 à 3.4 du programme.
Dell a publié un message concernant la vulnérabilité, avertissant qu’un utilisateur à faible privilège authentifié localement peut l’exploiter pour charger des DLL arbitraires, entraînant l’exécution privilégiée de logiciels malveillants. Le fabricant recommande aux utilisateurs professionnels de passer à la version 2.1.4 du produit, qui possède un correctif. Les utilisateurs grand public devront quant à eux passer à la version 3.4.1. Cette mise à jour s’effectue bien entendu automatiquement si les mises à niveau automatiques sont activées.
Ce type de vulnérabilité est assez courant, mais nécessite généralement des privilèges d’administrateur pour être exploité, il n’est donc généralement pas considéré comme une menace sérieuse pour la sécurité. Mais Eran Shimony de Cyberark, a expliqué à nos confrères que dans ce cas, SupportAssist tente de charger une DLL à partir d’un répertoire dans lequel un utilisateur de base peut écrire. « Par conséquent, un utilisateur malveillant non privilégié peut écrire une DLL qui serait chargée par DellSupportAssist, obtenant ainsi l’exécution de code dans un logiciel qui s’exécute avec les privilèges NT AUTHORITY \ System », a-t-il précisé. « Cela est dû au fait que vous pouvez écrire une entrée de code dans une fonction appelée DLLMain (dans la DLL malveillante) qui serait appelée immédiatement lors du chargement. Cette pièce de code s’exécuterait au niveau de privilège du process hôte. »
La faille pourrait être exploitée pour accéder à des données sensibles ou même pour voler les informations d’identification d’autres comptes, tels que le compte d’administrateur de domaine a par ailleurs expliqué à nos confrères Brian Honan, fondateur du cabinet irlandais spécialisé dans la cybersécurité BH Consulting.