https://cyberveille.ch/tags/application-control-bypass/ Recent content in Application Control Bypass on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-contournement-d-application-control-for-business-via-les-extended-attributes-ntfs-kernel/ Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-contournement-d-application-control-for-business-via-les-extended-attributes-ntfs-kernel/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 5 août 2026 sur shells.systems par Ian, cet article de recherche offensive présente une technique de contournement pratique d&rsquo;<strong>Application Control for Business</strong> (anciennement Windows Defender Application Control / WDAC) exploitant les <strong>Kernel Extended Attributes (Kernel EAs)</strong> du système de fichiers NTFS.</p> <h2 id="-mécanisme-technique">⚙️ Mécanisme technique</h2> <p>Les <strong>Kernel EAs</strong> sont une classe spéciale d&rsquo;attributs étendus introduite dans <strong>Windows 8</strong>, utilisée par le noyau comme cache haute performance pour éviter des opérations coûteuses comme la vérification répétée de signatures binaires. L&rsquo;attribut clé abusé est <strong><code>$Kernel.Smartlocker.OriginClaim</code></strong>.</p> https://cyberveille.ch/posts/2026-08-10-cve-2026-25166-deserialisation-non-securisee-dans-imgmgr-exe-permet-de-contourner-windows-application-control/ Mon, 10 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-10-cve-2026-25166-deserialisation-non-securisee-dans-imgmgr-exe-permet-de-contourner-windows-application-control/ <p>🔍 <strong>Contexte</strong> : Le 2 avril 2026, la société australienne dotSec publie une analyse technique détaillant la découverte et la divulgation responsable à Microsoft d&rsquo;une vulnérabilité de désérialisation non sécurisée dans un binaire du <strong>Windows Assessment and Deployment Kit (ADK)</strong>.</p> <p>⚠️ <strong>Vulnérabilité</strong> : La faille, référencée <strong>CVE-2026-25166</strong> et attribuée à Dr Tim Baker (Head of Testing and Assessment chez dotSec), affecte le binaire <strong>imgmgr.exe</strong>, composant du <strong>Windows System Image Manager (WSIM)</strong> livré avec le Windows ADK. Ce binaire est une application .NET Framework (WPF) qui utilise <strong>BinaryFormatter.Deserialize</strong> sans SerializationBinder sur un fichier fourni par l&rsquo;utilisateur via l&rsquo;argument <code>/i</code>, exposant une vulnérabilité classique de type <strong>CWE-502 (Désérialisation de données non fiables)</strong>.</p>