S’il semble que le protocole RDP (Remote Desktop Protocol) existe depuis toujours, c’est parce qu’il existe (du moins par rapport aux nombreuses technologies qui montent et descendent en quelques ann\u00e9es seulement). La version initiale, connue sous le nom de “Remote Desktop Protocol 4.0”, a \u00e9t\u00e9 publi\u00e9e en 1996 dans le cadre de l’\u00e9dition Windows NT 4.0 Terminal Server et permettait aux utilisateurs d’acc\u00e9der et de contr\u00f4ler \u00e0 distance des ordinateurs Windows via une connexion r\u00e9seau. <\/p>\n
Au cours des d\u00e9cennies qui ont suivi, RDP est devenu un protocole largement utilis\u00e9 pour l’acc\u00e8s et l’administration \u00e0 distance des syst\u00e8mes Windows. RDP joue un r\u00f4le crucial dans le travail \u00e0 distance, le support informatique et la gestion du syst\u00e8me et a servi de base \u00e0 diverses solutions de bureau \u00e0 distance et d’infrastructure de bureau virtuel (VDI). <\/p>\n
L’inconv\u00e9nient de l’utilisation g\u00e9n\u00e9ralis\u00e9e de RDP est qu’une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance (RCE) dans une passerelle RDP peut avoir de graves cons\u00e9quences, pouvant entra\u00eener des dommages importants et compromettre la s\u00e9curit\u00e9 et l’int\u00e9grit\u00e9 du syst\u00e8me affect\u00e9. Du point de vue d’un attaquant, l’exploitation d’une vuln\u00e9rabilit\u00e9 RCE est un moyen d’obtenir un acc\u00e8s non autoris\u00e9 au syst\u00e8me affect\u00e9, lui permettant de prendre le contr\u00f4le du syst\u00e8me, de contourner les mesures de s\u00e9curit\u00e9 et d’effectuer des actions malveillantes pouvant inclure un mouvement lat\u00e9ral, l’exfiltration de donn\u00e9es, le d\u00e9ploiement de logiciels malveillants, une interruption du syst\u00e8me, etc.<\/p>\n
Il est important de noter que la gravit\u00e9 de l’impact d\u00e9pendra de divers facteurs, notamment la vuln\u00e9rabilit\u00e9 sp\u00e9cifique, l’intention et les capacit\u00e9s de l’attaquant, l’importance du syst\u00e8me cibl\u00e9 et les mesures de s\u00e9curit\u00e9 en place. N\u00e9anmoins, \u00e9tant donn\u00e9 le potentiel d’acc\u00e8s non autoris\u00e9, de violations de donn\u00e9es et de compromission des syst\u00e8mes, les vuln\u00e9rabilit\u00e9s RCE dans RDP sont consid\u00e9r\u00e9es comme un probl\u00e8me de s\u00e9curit\u00e9 critique qui n\u00e9cessite une attention et une att\u00e9nuation imm\u00e9diates. <\/p>\n
\u00c9tonnamment (langue fermement dans la joue), Microsoft a r\u00e9cemment publi\u00e9 des bulletins de s\u00e9curit\u00e9 pour exactement un tel sc\u00e9nario. Patchez s’il vous plait !<\/p>\n
D\u00e9tournement de DLL utilis\u00e9 pour exploiter RDP – <\/strong>CVE-2023-24905<\/a><\/h2>\nTirant parti du piratage de la biblioth\u00e8que de liens dynamiques (DLL), le client RDP a \u00e9t\u00e9 compromis lorsqu’il a tent\u00e9 de charger un fichier \u00e0 partir du r\u00e9pertoire de travail actuel (CWD) au lieu du r\u00e9pertoire du syst\u00e8me d’exploitation Windows. <\/p>\n
Extrait du blog du chercheur :<\/a><\/p>\n“Il est devenu clair que nous pouvions usurper les ressources charg\u00e9es en changeant les ic\u00f4nes et les cha\u00eenes dans la DLL, ce qui pr\u00e9senterait un vecteur d’attaque de phishing int\u00e9ressant. Dans ce sc\u00e9nario, un attaquant pourrait manipuler les \u00e9l\u00e9ments visuels, tels que les ic\u00f4nes et les cha\u00eenes dans la DLL, pour induire l’utilisateur en erreur en effectuant certaines actions. Par exemple, en changeant les ic\u00f4nes et les cha\u00eenes, un attaquant pourrait faire ressembler un message d’erreur \u00e0 une notification syst\u00e8me l\u00e9gitime ou transformer une action dangereuse (telle que t\u00e9l\u00e9charger un fichier) en quelque chose d’apparemment inoffensif (comme effectuer une mise \u00e0 jour logicielle).”<\/em><\/p>\nLe RCE provient de la modification de la cha\u00eene DLL en un fichier malveillant, de son placement dans un emplacement de partage de fichiers couramment utilis\u00e9, puis de la ruse d’un utilisateur pour qu’il l’ex\u00e9cute. Fait int\u00e9ressant, cet exploit n’a affect\u00e9 que les appareils ex\u00e9cutant le syst\u00e8me d’exploitation Windows sur des processeurs de machines RISC avanc\u00e9es (ARM). Les syst\u00e8mes d’exploitation RDP et Windows sur ARM sont couramment utilis\u00e9s dans les syst\u00e8mes de contr\u00f4le industriels (ICS) et d’autres environnements de technologie op\u00e9rationnelle (OT), faisant des entreprises industrielles et des infrastructures critiques une cible privil\u00e9gi\u00e9e de cet exploit.<\/p>\n
La vuln\u00e9rabilit\u00e9 de la passerelle RDP pourrait menacer la conformit\u00e9 – <\/strong>CVE-2023-35332<\/a><\/h2>\nEn fonctionnement normal, le protocole de passerelle RDP cr\u00e9e un canal s\u00e9curis\u00e9 principal \u00e0 l’aide du protocole de contr\u00f4le de transport (TCP) et de la version 1.2 de Transport Layer Security (TLS), un protocole largement accept\u00e9 pour la communication s\u00e9curis\u00e9e. De plus, un canal secondaire est \u00e9tabli sur le protocole de datagramme utilisateur (UDP), impl\u00e9mentant la s\u00e9curit\u00e9 de la couche de transport de datagramme (DTLS) 1.0<\/em><\/strong>. Il est important de reconna\u00eetre que DTLS 1.0 est obsol\u00e8te depuis mars 2021 en raison de vuln\u00e9rabilit\u00e9s et de risques de s\u00e9curit\u00e9 bien connus.<\/p>\nExtrait du blog du chercheur :<\/a><\/p>\n“Cette vuln\u00e9rabilit\u00e9 de la passerelle RDP pr\u00e9sente \u00e0 la fois un risque de s\u00e9curit\u00e9 substantiel et un probl\u00e8me de conformit\u00e9 important. L’utilisation de protocoles de s\u00e9curit\u00e9 obsol\u00e8tes et obsol\u00e8tes, tels que DTLS 1.0, peut entra\u00eener une non-conformit\u00e9 par inadvertance aux normes et r\u00e9glementations de l’industrie.”<\/em><\/p>\nLe canal UDP secondaire est pr\u00e9occupant, d’autant plus qu’il utilise un protocole avec de nombreux probl\u00e8mes connus (DTLS 1.0). Le plus grand d\u00e9fi est que les op\u00e9rateurs peuvent m\u00eame ne pas savoir qu’ils ne sont pas conformes \u00e0 ce protocole obsol\u00e8te.<\/p>\n
Conclusion <\/strong><\/h2>\nPour \u00e9viter les cons\u00e9quences de ces vuln\u00e9rabilit\u00e9s, la meilleure chose \u00e0 faire est de mettre \u00e0 jour vos clients et passerelles RDP avec les correctifs publi\u00e9s par Microsoft. Mais in\u00e9vitablement, il y aura d’autres RCE sur RDP, ce qui signifie qu’une prochaine \u00e9tape cruciale consiste \u00e0 devancer les acteurs de la menace en d\u00e9ployant des contr\u00f4les d’acc\u00e8s robustes. \u00c9tant donn\u00e9 que RDP est largement utilis\u00e9 dans les environnements OT\/ICS qui sont pratiquement impossibles \u00e0 corriger, il est particuli\u00e8rement important que les organisations ex\u00e9cutant ces syst\u00e8mes trouver des outils de s\u00e9curit\u00e9<\/a> qui r\u00e9pondent \u00e0 leurs exigences particuli\u00e8res en mati\u00e8re de disponibilit\u00e9 des syst\u00e8mes, de s\u00e9curit\u00e9 op\u00e9rationnelle, etc.<\/p>\n<\/p>\n
“Il est devenu clair que nous pouvions usurper les ressources charg\u00e9es en changeant les ic\u00f4nes et les cha\u00eenes dans la DLL, ce qui pr\u00e9senterait un vecteur d’attaque de phishing int\u00e9ressant. Dans ce sc\u00e9nario, un attaquant pourrait manipuler les \u00e9l\u00e9ments visuels, tels que les ic\u00f4nes et les cha\u00eenes dans la DLL, pour induire l’utilisateur en erreur en effectuant certaines actions. Par exemple, en changeant les ic\u00f4nes et les cha\u00eenes, un attaquant pourrait faire ressembler un message d’erreur \u00e0 une notification syst\u00e8me l\u00e9gitime ou transformer une action dangereuse (telle que t\u00e9l\u00e9charger un fichier) en quelque chose d’apparemment inoffensif (comme effectuer une mise \u00e0 jour logicielle).”<\/em><\/p>\n Le RCE provient de la modification de la cha\u00eene DLL en un fichier malveillant, de son placement dans un emplacement de partage de fichiers couramment utilis\u00e9, puis de la ruse d’un utilisateur pour qu’il l’ex\u00e9cute. Fait int\u00e9ressant, cet exploit n’a affect\u00e9 que les appareils ex\u00e9cutant le syst\u00e8me d’exploitation Windows sur des processeurs de machines RISC avanc\u00e9es (ARM). Les syst\u00e8mes d’exploitation RDP et Windows sur ARM sont couramment utilis\u00e9s dans les syst\u00e8mes de contr\u00f4le industriels (ICS) et d’autres environnements de technologie op\u00e9rationnelle (OT), faisant des entreprises industrielles et des infrastructures critiques une cible privil\u00e9gi\u00e9e de cet exploit.<\/p>\n En fonctionnement normal, le protocole de passerelle RDP cr\u00e9e un canal s\u00e9curis\u00e9 principal \u00e0 l’aide du protocole de contr\u00f4le de transport (TCP) et de la version 1.2 de Transport Layer Security (TLS), un protocole largement accept\u00e9 pour la communication s\u00e9curis\u00e9e. De plus, un canal secondaire est \u00e9tabli sur le protocole de datagramme utilisateur (UDP), impl\u00e9mentant la s\u00e9curit\u00e9 de la couche de transport de datagramme (DTLS) 1.0<\/em><\/strong>. Il est important de reconna\u00eetre que DTLS 1.0 est obsol\u00e8te depuis mars 2021 en raison de vuln\u00e9rabilit\u00e9s et de risques de s\u00e9curit\u00e9 bien connus.<\/p>\n Extrait du blog du chercheur :<\/a><\/p>\n “Cette vuln\u00e9rabilit\u00e9 de la passerelle RDP pr\u00e9sente \u00e0 la fois un risque de s\u00e9curit\u00e9 substantiel et un probl\u00e8me de conformit\u00e9 important. L’utilisation de protocoles de s\u00e9curit\u00e9 obsol\u00e8tes et obsol\u00e8tes, tels que DTLS 1.0, peut entra\u00eener une non-conformit\u00e9 par inadvertance aux normes et r\u00e9glementations de l’industrie.”<\/em><\/p>\n Le canal UDP secondaire est pr\u00e9occupant, d’autant plus qu’il utilise un protocole avec de nombreux probl\u00e8mes connus (DTLS 1.0). Le plus grand d\u00e9fi est que les op\u00e9rateurs peuvent m\u00eame ne pas savoir qu’ils ne sont pas conformes \u00e0 ce protocole obsol\u00e8te.<\/p>\n Pour \u00e9viter les cons\u00e9quences de ces vuln\u00e9rabilit\u00e9s, la meilleure chose \u00e0 faire est de mettre \u00e0 jour vos clients et passerelles RDP avec les correctifs publi\u00e9s par Microsoft. Mais in\u00e9vitablement, il y aura d’autres RCE sur RDP, ce qui signifie qu’une prochaine \u00e9tape cruciale consiste \u00e0 devancer les acteurs de la menace en d\u00e9ployant des contr\u00f4les d’acc\u00e8s robustes. \u00c9tant donn\u00e9 que RDP est largement utilis\u00e9 dans les environnements OT\/ICS qui sont pratiquement impossibles \u00e0 corriger, il est particuli\u00e8rement important que les organisations ex\u00e9cutant ces syst\u00e8mes trouver des outils de s\u00e9curit\u00e9<\/a> qui r\u00e9pondent \u00e0 leurs exigences particuli\u00e8res en mati\u00e8re de disponibilit\u00e9 des syst\u00e8mes, de s\u00e9curit\u00e9 op\u00e9rationnelle, etc.<\/p>\n <\/p>\nLa vuln\u00e9rabilit\u00e9 de la passerelle RDP pourrait menacer la conformit\u00e9 – <\/strong>CVE-2023-35332<\/a><\/h2>\n
Conclusion <\/strong><\/h2>\n