Windows 10, la garantie de sécurité ? Faut voir…

 

La sécurité, comme à plusieurs reprises par le passé, est un atout mis en avant par Microsoft pour encourager les utilisateurs à adopter la dernière version de son système d’exploitation, Windows 10. Cette mouture disposerait de défenses intégrées lui garantissant une protection accrue contre les attaques.

Probablement en serait-il effectivement ainsi si la fonctionnalité Address Space Layout Randomization (ASLR) avait été convenablement implémentée par l’éditeur dans sa plateforme. L’ASLR n’est pas une spécificité Windows. Cette sécurité est également présente dans Android, Linux, iOS et macOS.

Pour l’ASLR, Windows 7 fait mieux que Windows 10

Son principe consiste à empêcher les attaques qui reposent sur l’exécution de code à des emplacements de mémoire prévisibles en chargeant pour cela des programmes à des adresses aléatoires.

L’ASLR a fait son apparition dans Windows à partir de Windows Vista. Mais à l’occasion de l’implémentation de Force ASLR (ou « system-wide mandatory ASLR ») dans Windows 8, les développeurs de la firme ont introduit une erreur. Et ce bug reste d’actualité avec Windows 10.

Cette fonctionnalité est destinée à rendre aléatoires les exécutables même si une application n’a pas activé le support d’ASLR. Elle peut être activée via Enhanced Mitigation Experience Toolkit (EMET) de Microsoft.

Or depuis la mise à jour Windows 10 Fall Creators Update, EMET est devenu une partie intégrante de Windows Defender Exploit Guard (WDEG). Mais comme l’a constaté Will Dormann du CERT/CC de l’Université Carnegie Mellon, l’activation d’ASLR à l’échelle du système ne fonctionne que partiellement.

En effet, les programmes sont bien déplacés, mais à la même adresse mémoire. « À partir de Windows 8.0, le système ASLR obligatoire (activé via EMET) n’a pas d’entropie, ce qui le rend pratiquement inutile. Windows Defender Exploit Guard pour Windows 10 est dans le même bateau » écrit Dormann sur Twitter.

Certaines attaques facilitées 

Dormann a fait cette découverte en recherchant la vulnérabilité récemment identifiée à partir de Microsoft Equation Editor, ou EQNEDT32.EXE, compilé il y a 17 ans, bien avant que ASLR ne soit supporté par Windows.

En théorie, un administrateur pourrait forcer ASLR sur EQNEDT32.EXE en activant ASLR à l’échelle du système dans EMET ou WDEG. Non seulement la fonctionnalité est « sans valeur » sur Windows 10, mais EMET se révèle plus efficace sur Windows 7, souligne le chercheur en sécurité.

« En fait, avec Windows 7 et EMET System-wide ASLR, l’adresse chargée pour eqnedt32.exe est différente à chaque redémarrage. Mais sur Windows 10 avec EMET ou WDEG, la base pour eqnedt32.exe est 0x10000 à chaque fois. Conclusion : Win 10 ne peut pas appliquer ASLR aussi bien que Win7 » déduit-il.

Et ce bug d’implémentation a des conséquences puisqu’il peut faciliter l’exploitation de certaines classes de vulnérabilités. Dormann signale qu’aucune solution n’existe à ce problème. Il propose cependant une solution de contournement à destination des administrateurs système.

ZDNet