La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 CrowdStrike a publi\u00e9<\/a> son analyse des causes profondes d\u00e9taillant le crash de la mise \u00e0 jour du logiciel Falcon Sensor qui a paralys\u00e9 des millions d’appareils Windows dans le monde.<\/p>\n L’incident \u00ab\u00a0Channel File 291\u00a0\u00bb, tel que soulign\u00e9 \u00e0 l’origine dans son examen pr\u00e9liminaire apr\u00e8s incident (PIR), a \u00e9t\u00e9 attribu\u00e9 \u00e0 un probl\u00e8me de validation de contenu survenu apr\u00e8s l’introduction d’un nouveau type de mod\u00e8le pour permettre la visibilit\u00e9 et la d\u00e9tection de nouvelles techniques d’attaque qui abusent des canaux nomm\u00e9s et d’autres m\u00e9canismes de communication interprocessus Windows (IPC).<\/p>\n Plus pr\u00e9cis\u00e9ment, il s’agit d’une mise \u00e0 jour de contenu probl\u00e9matique d\u00e9ploy\u00e9e sur le cloud, la soci\u00e9t\u00e9 la d\u00e9crivant comme une \u00ab confluence \u00bb de plusieurs lacunes qui ont conduit \u00e0 un crash – la plus importante d’entre elles est une incompatibilit\u00e9 entre les 21 entr\u00e9es transmises au validateur de contenu via le type de mod\u00e8le IPC par opposition aux 20 fournies \u00e0 l’interpr\u00e9teur de contenu.<\/p>\n CrowdStrike a d\u00e9clar\u00e9 que l’incompatibilit\u00e9 des param\u00e8tres n’a pas \u00e9t\u00e9 d\u00e9couverte au cours de \u00ab plusieurs couches \u00bb du processus de test, en partie en raison de l’utilisation de crit\u00e8res de correspondance g\u00e9n\u00e9riques pour la 21e entr\u00e9e pendant les tests et dans les instances de mod\u00e8le IPC initiales qui ont \u00e9t\u00e9 livr\u00e9es entre mars et avril 2024.<\/p>\n En d’autres termes, la nouvelle version du fichier de canal 291, publi\u00e9e le 19 juillet 2024, a \u00e9t\u00e9 la premi\u00e8re instance de mod\u00e8le IPC \u00e0 utiliser le 21e champ de param\u00e8tre d’entr\u00e9e. L’absence d’un cas de test sp\u00e9cifique pour les crit\u00e8res de correspondance non g\u00e9n\u00e9riques dans le 21e champ signifiait que cela n’\u00e9tait signal\u00e9 qu’apr\u00e8s l’envoi du contenu de r\u00e9ponse rapide aux capteurs.<\/p>\n \u00ab Les capteurs qui ont re\u00e7u la nouvelle version du fichier de canal 291 contenant le contenu probl\u00e9matique ont \u00e9t\u00e9 expos\u00e9s \u00e0 un probl\u00e8me de lecture hors limites latent dans l’interpr\u00e9teur de contenu \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n \u00ab Lors de la notification IPC suivante du syst\u00e8me d’exploitation, les nouvelles instances de mod\u00e8le IPC ont \u00e9t\u00e9 \u00e9valu\u00e9es, en sp\u00e9cifiant une comparaison avec la 21e valeur d’entr\u00e9e. L’interpr\u00e9teur de contenu n’attendait que 20 valeurs. Par cons\u00e9quent, la tentative d’acc\u00e8s \u00e0 la 21e valeur a produit une lecture de m\u00e9moire hors limites au-del\u00e0 de la fin du tableau de donn\u00e9es d’entr\u00e9e et a entra\u00een\u00e9 un blocage du syst\u00e8me. \u00bb<\/p>\n Outre la validation du nombre de champs d’entr\u00e9e dans le type de mod\u00e8le au moment de la compilation du capteur pour r\u00e9soudre le probl\u00e8me, CrowdStrike a d\u00e9clar\u00e9 avoir \u00e9galement ajout\u00e9 des v\u00e9rifications des limites du tableau d’entr\u00e9e d’ex\u00e9cution \u00e0 l’interpr\u00e9teur de contenu pour emp\u00eacher les lectures de m\u00e9moire hors limites et corrig\u00e9 le nombre d’entr\u00e9es fournies par le type de mod\u00e8le IPC.<\/p>\n \u00ab La v\u00e9rification des limites ajout\u00e9e emp\u00eache l’interpr\u00e9teur de contenu d’effectuer un acc\u00e8s hors limites au tableau d’entr\u00e9e et de faire planter le syst\u00e8me \u00bb, a-t-il not\u00e9. \u00ab La v\u00e9rification suppl\u00e9mentaire ajoute une couche suppl\u00e9mentaire de validation d’ex\u00e9cution pour garantir que la taille du tableau d’entr\u00e9e correspond au nombre d’entr\u00e9es attendues par le contenu de r\u00e9ponse rapide. \u00bb<\/p>\n De plus, CrowdStrike a d\u00e9clar\u00e9 qu’il pr\u00e9voyait d’augmenter la couverture des tests pendant le d\u00e9veloppement du type de mod\u00e8le afin d’inclure des cas de test pour les crit\u00e8res de correspondance non g\u00e9n\u00e9riques pour chaque champ dans tous les (futurs) types de mod\u00e8les.<\/p>\n Certaines mises \u00e0 jour des capteurs devraient \u00e9galement combler les lacunes suivantes\u00a0:<\/p>\n Enfin, CrowdStrike a indiqu\u00e9 avoir engag\u00e9 deux fournisseurs de logiciels de s\u00e9curit\u00e9 ind\u00e9pendants pour proc\u00e9der \u00e0 un examen plus approfondi du code du capteur Falcon, tant pour la s\u00e9curit\u00e9 que pour l’assurance qualit\u00e9. Il proc\u00e8de \u00e9galement \u00e0 un examen ind\u00e9pendant du processus de qualit\u00e9 de bout en bout, du d\u00e9veloppement au d\u00e9ploiement.<\/p>\n L’entreprise s’est \u00e9galement engag\u00e9e \u00e0 travailler avec Microsoft alors que Windows introduit de nouvelles fa\u00e7ons d’ex\u00e9cuter des fonctions de s\u00e9curit\u00e9 dans l’espace utilisateur au lieu de s’appuyer sur un pilote de noyau.<\/p>\n \u00ab Le pilote du noyau de CrowdStrike est charg\u00e9 d\u00e8s le d\u00e9but du d\u00e9marrage du syst\u00e8me pour permettre au capteur d’observer et de se d\u00e9fendre contre les logiciels malveillants qui se lancent avant le d\u00e9marrage des processus en mode utilisateur \u00bb, a-t-il d\u00e9clar\u00e9.<\/p>\n \u00ab En fournissant un contenu de s\u00e9curit\u00e9 \u00e0 jour (par exemple, le contenu de r\u00e9ponse rapide de CrowdStrike) \u00e0 ces capacit\u00e9s du noyau, le capteur peut d\u00e9fendre les syst\u00e8mes contre un paysage de menaces en \u00e9volution rapide sans apporter de modifications au code du noyau. Le contenu de r\u00e9ponse rapide est une donn\u00e9e de configuration ; ce n’est pas du code ou un pilote de noyau. \u00bb<\/p>\n La publication de l’analyse des causes profondes intervient alors que Delta Air Lines dit<\/a> elle n’a \u00ab pas d’autre choix \u00bb que de demander des dommages et int\u00e9r\u00eats \u00e0 CrowdStrike et Microsoft pour avoir caus\u00e9 des perturbations massives et lui avoir co\u00fbt\u00e9 environ 500 millions de dollars en pertes de revenus et en co\u00fbts suppl\u00e9mentaires li\u00e9s \u00e0 des milliers de vols annul\u00e9s.<\/p>\n CrowdStrike et Microsoft ont tous deux depuis<\/a> a r\u00e9pondu<\/a> aux critiques, affirmant qu’ils n’\u00e9taient pas responsables de la panne qui a dur\u00e9 plusieurs jours et que Delta avait d\u00e9clin\u00e9 leurs offres d’assistance sur site, indiquant que les probl\u00e8mes du transporteur pourraient \u00eatre bien plus profonds que la panne de ses machines Windows en raison de la mise \u00e0 jour de s\u00e9curit\u00e9 d\u00e9fectueuse.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/CrowdStrike-revele-la-cause-profonde-des-pannes-de-systemes-a.png\")
<\/a><\/center><\/div>\n\n
\n
\n
\n
\n
<\/a><\/center><\/section>\n