Le monde de l'informatique a une nouvelle fois les yeux rivés sur l'actualité brûlante concernant une nouvelle faille de type « zero-day ». Cette fois-ci, cela concerne le spouleur d'impression de Windows. Si la plupart des articles se sont concentrés sur la série de malentendus qui a conduit à la publication accidentelle du code d'exploitation, cet incident nous en apprend davantage.
Les responsables de la sécurité et les responsables informatiques devraient en prendre bonne note. Comprendre quels sont vos actifs et leur état constitue la première étape pour réduire la surface d'attaque, améliorer la cyber-résilience et accélérer la réponse aux incidents.
Regardez cette brève démonstration pour découvrir comment Tanium permet d'identifier et de corriger la vulnérabilité PrintNightmare.
https://youtu.be/m8cP2HhT48w
Le résumé de l'histoire jusqu'à présent
L'histoire commence avec le « Patch Tuesday » de juin de Microsoft, au cours duquel la société a publié un correctif pour ce qui avait initialement été décrit comme une vulnérabilité de gravité élevée liée à l'élévation de privilèges dans le spouleur d'impression de Windows : CVE-2021-1675.
Microsoft a par la suite reclassé cette vulnérabilité comme « critique » après avoir découvert qu'elle pouvait également permettre l'exécution de code à distance (RCE). Une semaine plus tard, sur le site « 28 juin », l'éditeur chinois de solutions de sécurité QiAnXin a annoncé avoir mis au point un exploit permettant à la fois l'élévation des privilèges en local et l'exécution de code à distance dans la vulnérabilité CVE-2021-1675, et a publié une vidéo illustrant son fonctionnement.
Malheureusement, les chercheurs de la société Sangfor Technologies, basée à Shenzhen, ont mal interprété cette information. Partant du principe que ce bug correspondait à une faille critique qu'ils avaient découverte dans le spouleur d'impression, ils ont décidé de publier leur propre exploit de démonstration — qui devait initialement être présenté lors de la conférence Black Hat USA en août. Le raisonnement était simple : puisque le bug avait déjà été corrigé par Microsoft (du moins le pensaient-ils), où était le problème ?
Nous connaîtrons sans doute la réponse à cette question dans les prochains jours. Cette faille permet à un attaquant distant et authentifié d'exécuter du code avec des droits élevés sur n'importe quelle machine sur laquelle le service « Print Spooler » est activé, y compris les contrôleurs de domaine. Cela pourrait avoir des conséquences potentiellement graves. Compte tenu de ce que nous savons des auteurs de menaces, vous pouvez être sûr que cette faille est désormais entre les mains de personnes qui ont l'intention de l'utiliser contre tout système vulnérable.
Ce que cela implique pour votre organisation
Les conseils pour limiter les conséquences de cet incident sont assez simples. Les organisations doivent recenser tous les ordinateurs sur lesquels le service « Print Spooler » est en cours d'exécution et sur lesquels le rôle de contrôleur de domaine est installé, puis désactiver ce service sur tous les contrôleurs de domaine qui n'en ont pas besoin. Lorsqu'un correctif est disponible, vous devez l'appliquer à tous les terminaux concernés dès que possible.
Cependant, il faut considérer la situation dans son ensemble. Si vous ne disposez pas d'une visibilité sur vos terminaux, vos charges de travail, vos configurations et l'état de vos correctifs, vous serez constamment contraint de réagir au coup par coup. Par exemple, de nombreuses organisations ont des services et des applications, comme le spouleur d'impression, qui s'exécutent sur des infrastructures critiques, alors qu'ils n'auraient tout simplement pas dû s'y trouver.
Souvent, le service informatique a cherché à réduire le nombre de serveurs et de machines virtuelles de son parc, au lieu de les faire évoluer horizontalement en mettant en place des services dédiés distincts. Cela se traduit par un nombre réduit d'appareils à entretenir et par une surface d'attaque plus étendue, car leur infrastructure critique héberge désormais plusieurs services qui devraient être isolés les uns des autres. Ces mêmes équipes informatiques risquent de ne pas avoir conscience des risques auxquels elles sont exposées si elles ne disposent pas d'une visibilité sur les terminaux.
Cela peut entraîner l'apparition de plusieurs problèmes critiques nécessitant d'être résolus simultanément, ce qui retarde la réponse aux incidents. En d'autres termes : le problème, quand on court sans arrêt à toute vitesse, c'est qu'on ne peut tout simplement pas aller plus vite. Il convient donc de toujours privilégier en premier lieu une bonne hygiène informatique . Appliquer les correctifs sur ces terminaux, renforcer la sécurité de ces systèmes, restreindre l'accès au réseau lorsque cela s'avère nécessaire — et garantir la conformité.
C'est ainsi que vous réduirez la surface d'attaque et minimiserez les risques qu'un autre incident de type « PrintNightmare » affecte votre organisation.
Adopter une attitude proactive
Ceux qui ne tirent pas les leçons de l'histoire sont condamnés à la répéter. Profitez donc de cette occasion pour revoir vos plans d'action et y intégrer les enseignements tirés. Cela pourrait notamment consister à vérifier :
- Pour vérifier si vos normes de sécurisation sont à la hauteur. Ce n'est pas la première fois que nous constatons des problèmes avec le spouleur d'impression, par exemple
- Vos processus de mise en service, de renforcement de la sécurité et de conformité continue des systèmes, afin de vérifier si les normes de renforcement de la sécurité sont respectées ou non
- En ce qui concerne les risques liés aux tiers, isolez derrière un pare-feu tous les actifs tiers présents au sein de votre organisation sur lesquels vous n'avez pas accès.
La bonne nouvelle, c'est que Tanium est conçu pour vous aider à répondre aux questions essentielles concernant votre parc de terminaux. Grâce à ces informations, vous pouvez alors prendre des mesures correctives — rapidement et à grande échelle.
Dès que vous constatez un problème, vous pouvez vérifier la configuration actuelle de l'environnement, pratiquement en temps réel, et apporter les modifications nécessaires. Tout cela en quelques minutes plutôt qu'en plusieurs semaines. Tanium peut également vous signaler tout écart par rapport aux bonnes pratiques en matière de conformité.
Si vous ne savez pas ce que vous possédez, comment cela est configuré et quels programmes y sont exécutés, vous ne pouvez pas en assurer la sécurité. Une fois la faille « PrintNightmare » corrigée, , vérifiez votre environnement à l'aide de l'évaluation gratuite des risques proposée par Tanium :. Inscrivez-vous dès aujourd'hui.
