Une faille de sécurité s’introduit dans Windows 7

Un chercheur a signalé la possible émergence d’une faille de sécurité dans la dernière version bêta de Windows 7. Long Zheng a ainsi publié une description et une preuve de concept mettant en avant un problème permettant à un pirate de contourner le composant User Account Control (UAC) dans la nouvelle version de Windows.

Ce composant est conçu pour surveiller un système et informer l’utilisateur lorsqu’un programme tente de le modifier. Initialement mis en place pour prévenir les attaques de logiciels malveillants, le programme a été désactivé par de nombreux utilisateurs et largement décrié par des utilisateurs en raison des nombreuses boîtes de dialogue qu’il crée dans certains systèmes.

Pour améliorer ce système sous Windows 7, Microsoft a défini de nouvelles directives pour l’UAC qui autorisent les modifications des paramètres Windows mais exigent une autorisation pour modifier le système lui-même.

L’UAC peut être contrôlé par un pirate

Le problème, explique le chercheur Long Zheng, est que l’UAC lui-même est contrôlé via les paramètres système, ce qui permet à un pirate de désactiver entièrement les protections sans que l’utilisateur en soit informé.

« Nous avons rapidement réalisé que les implications étaient bien plus graves que ce que nous avions imaginé de prime abord », écrit le chercheur. « Vous pouvez automatiser un redémarrage une fois l’UAC modifié, ajouter un programme au dossier de démarrage de l’utilisateur et, grâce à la désactivation du composant, travailler avec des privilèges administrateur prêts à provoquer des dégâts. »

Microsoft ignorerait la mise en garde du chercheur

Le chercheur précise que le problème peut être facilement corrigé en modifiant le paramètre de l’UAC de façon à informer les utilisateurs en cas de modification des paramètres Windows, ajoutant que Microsoft pourrait remédier au problème en informant l’utilisateur lorsque le paramètre de l’UAC est modifié.

Mais, selon Long Zheng, Microsoft refuse de reconnaître le problème qui pourrait donc demeurer en l’état. « Si je parle de cette faille sur mon blog, ce n’est pas uniquement pour ses implications en termes de sécurité, car c’est un véritable jeu d’enfant de la corriger.

Le chercheur ajoute : « Mais je tiens à attirer l’attention sur l’ignorance dont fait délibérément preuve Microsoft à ce sujet sur sa plate-forme de feedback officielle dédiée à la version bêta de Windows 7 en qualifiant la faille de ‘conceptuelle’ et en sous-entendant qu’elle ne sera pas corrigée dans la version commerciale du logiciel. »

A la date de publication de cet article sur Vnunet.com, Microsoft n’a fait aucun commentaire sur la faille de sécurité de l’UAC ni répondu à la note de Long Zheng.

Adaptation d’un article Vnunet.com en date du 31 janvier 2009 et intitulé Big security hole punched in Windows 7