Escalade De Privilèges

🔍 Contexte Publié le 30 octobre 2026 sur le blog de Hacktron (hacktron.ai), cet article est un post-mortem de recherche offensive menée sur GNU Savannah, la forge logicielle hébergeant des projets GNU critiques comme Bash et Coreutils. La recherche a été conduite via la plateforme Hacktron et signalée à la FSF le 11 mai 2026. 🐛 Vulnérabilité principale — HCK-001 (Critique) La forge utilise Savane, une application PHP héritée du code SourceForge de 2001. Le validateur d’adresses email (check_email) accepte des caractères spéciaux comme les backticks dans la partie locale d’une adresse, conformément à la RFC. Lors du test de clé GPG (/my/admin/gpgkeys), la fonction test_listing() concatène l’adresse email directement dans une commande shell passée à gpg via utils_run_proc(), sans échappement. ...

🗓️ Contexte Publié le 1er octobre 2026 par The Register, cet article relate un incident de sécurité ayant touché le Dutch Institute for Vulnerability Disclosure (DIVD), organisation néerlandaise à but non lucratif spécialisée dans la chasse aux vulnérabilités. L’attaque a eu lieu le 21 septembre 2026. 🔓 Vecteur d’attaque et exploitation Des acteurs malveillants ont exploité deux vulnérabilités zero-day chaînées dans Zammad, un système open-source de helpdesk et de ticketing : ...

🔍 Contexte Le 25 août 2026, NVIDIA a publié un avis de sécurité (mis à jour le 21 août 2026) concernant des nouvelles recherches sur les attaques Rowhammer ciblant ses GPU. Cet avis fait suite à des travaux de l’Université de Toronto présentés sous le nom GPUThor, qui étendent des recherches antérieures sur les vulnérabilités Rowhammer affectant les GPU NVIDIA équipés de mémoire GDDR6. ⚠️ Nature de la menace Les recherches GPUThor présentent des patterns d’accès mémoire optimisés ciblant la mémoire GPU, capables d’induire des bit flips même sur des mémoires protégées par ECC. Les GPU workstation affectés par des bit flips observés incluent : ...

🔍 Contexte Publié le 24 juin 2026 par Hillel Pinto (XM Cyber), cet article présente une nouvelle technique d’escalade de privilèges macOS permettant à un compte utilisateur standard de désactiver des solutions de sécurité d’entreprise (EDR, MDM) sans droits administrateur, sans exploit noyau et sans déclencher d’alertes. ⚙️ Mécanisme technique L’attaque repose sur une chaîne d’exploitation en plusieurs étapes : Exploitation du cache CDHash noyau : un binaire signé légitime est lancé pour peupler le cache de confiance du noyau, puis la structure du bundle applicatif est modifiée pour injecter un payload NIB (Interface Builder) malveillant. Héritage du contexte de confiance : le code malveillant s’exécute dans l’espace mémoire du composant signé légitime, héritant de ses credentials de confiance noyau, ce qui lui permet de communiquer avec les daemons privilégiés sans authentification. Bridge Objective-C via JXA : pour contourner les limitations d’AppleScript, un bridge multi-étapes est construit : chargement de OSAKit.framework, transition vers JavaScript for Automation (JXA), accès au bridge Objective-C, manipulation de malloc/free, dispatch_block_create, objc_msgSend, et spoofing de structures Block_layout. Méthodes XPC exposées exploitées : runProcessWithCommand:, terminateAppsAndAgents:, ceaseSystemExtensionWithReply: 🎯 Produits impactés CrowdStrike Falcon Sensor : déchargement complet du capteur depuis un compte UID 502, terminaison de la surveillance des processus et de la visibilité réseau. → Détection et prévention ajoutées, bounty payé. Kandji MDM Agent : désactivation permanente via une chaîne XPC en deux phases, suppression des gardes EDR et terminaison de l’extension Endpoint Security Framework (ESF). → CVE-2026-39118 assigné, bounty payé, correctif déployé. 🛠️ Outil associé Le chercheur a développé XPC Hunter, un framework open-source automatisé de découverte des surfaces d’escalade de privilèges XPC sur toutes les applications macOS installées. Sa présentation est prévue à Black Hat US en août 2026. ...

🔍 Contexte Publié le 21 mai 2026 par The Cyber Express, cet article documente une chaîne de vulnérabilités critiques identifiée sous CVE-2026-5140 affectant Pardus Linux, une distribution maintenue par TÜBİTAK et largement déployée dans les institutions gouvernementales, les écoles et les entreprises turques. La vulnérabilité a été découverte et documentée le 13 mars 2026 par le chercheur Çağrı Eser. ⚠️ Vulnérabilité La faille reçoit un score CVSS v3.1 de 9.3 (Critique) avec le vecteur suivant : CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H ...

🔍 Contexte Publié le 13 avril 2026 sur le blog Calif (https://blog.calif.io), cet article documente une recherche offensive menée en partenariat avec OpenAI, visant à évaluer la capacité de l’IA Codex à réaliser une escalade de privilèges complète sur un équipement embarqué réel : une Samsung Smart TV fonctionnant sous le firmware KantS2 (Samsung Tizen). 🎯 Objectif et environnement Les chercheurs ont fourni à Codex un point d’ancrage initial (code execution dans le contexte du navigateur de la TV) et un environnement de travail structuré : ...

Source : oss-sec (mailing list). Dans un post signé par “turistu” le 16 décembre 2025, un rapport technique décrit CVE-2025-14282 affectant le serveur SSH Dropbear en mode multi-utilisateur. • Problème principal : Dropbear exécute les redirections de sockets (TCP/UNIX) en tant que root durant l’authentification et avant le spawn du shell, ne basculant de manière permanente vers l’utilisateur connecté qu’ensuite. Avec l’ajout récent du forwarding vers des sockets de domaine UNIX (commit 1d5f63c), un utilisateur SSH authentifié peut se connecter à n’importe quel socket UNIX avec les identifiants root, contournant les permissions du système de fichiers et les contrôles SO_PEERCRED / SO_PASSCRED. ...

Selon Acronis, des tendances récentes montrent une préférence des attaquants pour des approches simples et peu coûteuses, avec un accès initial via RDP et l’usage d’outillage prêt à l’emploi pour progresser dans les réseaux compromis. L’analyse souligne que la plupart des victimes sont compromises par RDP. Après l’accès initial, les acteurs utilisent des outils standards pour la découverte et le mouvement latéral, ainsi que des exploits d’escalade de privilèges (LPE), des AV killers (notamment via des drivers vulnérables), des terminateurs de processus, des désinstalleurs ciblés et des outils d’accès aux identifiants comme Mimikatz. ...

Source: billet technique de Lucas Laise. Contexte: analyse d’une vulnérabilité (CVE-2024-36424) dans K7 Ultimate Security v17.0.2045 menant d’un simple accès utilisateur à des privilèges SYSTEM, avec rétro‑ingénierie et étude des correctifs. Le chercheur identifie un mécanisme de communication par named pipe entre l’interface utilisateur (K7TSMain.exe) et un service SYSTEM (K7TSMngr), via le pipe « \.\pipe\K7TSMngrService1 ». En cochant l’option « Non Admin users can change settings and disable protection », des requêtes sont envoyées pour modifier des clés de registre en SYSTEM, permettant d’ouvrir les paramètres à tous les utilisateurs. Premier impact: désactivation de la protection antivirus et possibilité de whitelister des fichiers en tant qu’utilisateur non privilégié. ...

Source: SpecterOps (billet de blog, 19 nov. 2025). Contexte: Publication de recherche détaillant une vulnérabilité de SCCM intégrée à Entra ID, assignée CVE-2025-59501, avec un correctif publié le 27 oct. 2025 (KB35360093) et une chronologie de divulgation. Le billet explique que, sur des sites SCCM intégrés à Microsoft Entra ID (CMG/Co-management) et avant le correctif KB35360093, l’API AdminService valide un jeton Entra puis extrait l’UPN pour réaliser une impersonation Kerberos S4U d’un compte Active Directory correspondant, sans contrôle d’autorisation supplémentaire sur l’UPN. Cela permettait d’exécuter des opérations WMI côté SMS Provider « au nom » de n’importe quelle identité AD mappable via l’UPN. ...