Privilege Escalation

🔍 Contexte Publié le 31 août 2026 par Lukas Maar (Calif), cet article de recherche présente la première partie d’une série décrivant une stratégie d’exploitation générique permettant de passer du contexte untrusted_app Android aux privilèges root sur les appareils flagship de Samsung, Xiaomi et Oppo/OnePlus/Realme. 🎯 Stratégie OEMpocalypse La stratégie repose sur deux étapes : Stage 1 (optionnel) — Sandbox Escape : Exploitation d’une faille logique dans un endpoint IPC OEM (Binder, intent, socket local) pour passer du domaine SELinux untrusted_app vers un processus OEM privilégié (app système, daemon natif) ayant accès au driver ciblé. Stage 2 — Page Use-After-Free (UAF) : Exploitation d’un page UAF dans un driver kernel OEM-spécifique, fournissant un primitif de lecture/écriture physique indépendant des protections slab (CONFIG_SLAB_BUCKETS, KASLR, CFI). 📱 Couverture des appareils testés OEM Appareils Chipset Android Kernel Samsung Galaxy S26 Ultra Snapdragon 8 Elite Gen 5 16 6.12.30 Samsung Galaxy S26 Exynos 2600 16 6.12.38 Samsung Galaxy S23 Snapdragon 8 Gen 2 14 5.15.148 Xiaomi Xiaomi 17 Snapdragon 8 Elite Gen 5 16 6.12.23 Oppo Find X9 Ultra Snapdragon 8 Elite Gen 5 16 6.12.58 OnePlus Ace 6 Ultra MediaTek Dimensity 9500 16 6.12.58 Tous les appareils testés fonctionnaient avec un bootloader verrouillé et un firmware stock signé (Verified boot: green, VBMeta: locked). ...

🔍 Contexte Cet article est publié le 18 août 2026 sur le blog AmberWolf par David Cash. Il présente une recherche en vulnérabilité et divulgation responsable portant sur l’abus du mécanisme Mobile Device Management (MDM) natif de Windows. 🎯 Technique décrite : NachoMDM La technique baptisée NachoMDM consiste à weaponiser (armer) les fonctionnalités MDM intégrées à Windows afin d’atteindre deux objectifs offensifs : Contournement de l’UAC (User Account Control) Exécution de code avec des privilèges SYSTEM via une inscription MDM malveillante 🏢 Contexte d’exploitation Dans les environnements d’entreprise modernes, le MDM est utilisé pour : ...

🗓️ Contexte Source : BleepingComputer, publié le 17 août 2026. L’article rapporte la divulgation publique d’une vulnérabilité zero-day dans Microsoft Defender, nommée ShieldBreak, par le chercheur en sécurité Nightmare Eclipse, sans notification préalable à Microsoft. 🔍 Détails de la vulnérabilité Nom : ShieldBreak CVE : CVE-2026-69414 Composant affecté : Microsoft Malware Protection Engine (Microsoft Defender) Type : Élévation de privilèges (Privilege Escalation) Impact : Permet à un attaquant local avec des permissions limitées d’obtenir des privilèges SYSTEM Condition : Microsoft Defender doit être activé Taux de succès du PoC : 100% 🖥️ Systèmes vulnérables Windows 11 25H2 (y compris canal Canary) Windows Server 2025 Windows 10 et éditions serveur correspondantes (vulnérables mais non testées dans le PoC) 🔗 Lien avec RoguePlanet ShieldBreak est décrit comme un bypass du patch de RoguePlanet (CVE-2026-50656), une autre faille d’escalade de privilèges dans Defender divulguée en juin 2026 et patchée en juillet 2026. Le chercheur affirme que Microsoft n’a pas correctement corrigé RoguePlanet. ...

📰 Source : ithinkdiff.com (via Financial Times), publié le 2 août 2026 Contexte Apple a discrètement modifié son système de soumission de rapports de sécurité en juin 2026, en limitant le nombre de rapports actifs qu’un chercheur peut avoir ouverts simultanément. Cette décision fait suite à une augmentation massive de soumissions assistées par IA, dont un grand nombre décrivaient des vulnérabilités inexistantes (hallucinations). Élément déclencheur La startup italienne de cybersécurité Bynario a utilisé ChatGPT pour identifier plus de 50 vulnérabilités potentielles dans la dernière version de macOS en seulement trois semaines, dont une chaîne d’exploitation d’élévation de privilèges (privilege escalation exploit chain). Bynario n’a pas pu soumettre toutes ses découvertes en raison de la nouvelle limite imposée par Apple. ...

🔍 Contexte Publié le 23 juillet 2026 par Oren Yomtov (Principal Security Researcher, Accomplish), cet article technique détaille une chaîne d’exploitation baptisée SharedRoot affectant Claude Cowork, l’environnement d’exécution d’agents IA d’Anthropic pour macOS. La vulnérabilité a été signalée à Anthropic, qui l’a classée « Informative ». 🧱 Architecture de l’environnement ciblé Claude Cowork exécute les agents dans une VM Linux via le framework Apple Virtualization, avec : Un utilisateur de session non privilégié par session Un filtre seccomp Un daemon root (coworkd) gérant les montages de dossiers Le système de fichiers hôte entier (/) monté en lecture-écriture dans la VM à /mnt/.virtiofs-root, accessible uniquement par root dans le guest ⛓️ Chaîne d’exploitation SharedRoot Obtention de capacités : L’utilisateur non privilégié appelle unshare pour créer un namespace utilisateur (feature kernel non désactivée), obtenant CAP_NET_ADMIN à l’intérieur Chargement du module vulnérable : Avec CAP_NET_ADMIN, configuration d’une action tc utilisant le module act_pedit, autoloadé par le kernel via netlink (autorisé par le filtre seccomp permissif) Primitive d’écriture : Exploitation de CVE-2026-46331 (« pedit COW », bug Ubuntu public de juin 2026) permettant d’empoisonner le cache de pages d’un binaire en lecture seule sans modifier les octets sur disque Escalade vers guest-root : coworkd (root, non durci) ré-exécute le binaire helper empoisonné ; comme le processus exécutant est déjà root, NoNewPrivs ne s’applique pas Évasion de la VM : Guest-root accède à /mnt/.virtiofs-root — l’intégralité du système de fichiers hôte macOS — en lecture/écriture, sans aucune invite de permission 🎯 Impact Accès en lecture/écriture à l’ensemble du système de fichiers macOS de l’utilisateur connecté Exfiltration possible de clés SSH, credentials cloud, et tout fichier accessible par le compte utilisateur Exploitation déclenchée par un simple message dans une session Cowork avec un dossier connecté 🔐 Quatre décisions de conception identifiées comme défaillances Namespaces utilisateur non privilégiés activés : apparmor_restrict_unprivileged_userns=1 aurait bloqué la première étape Filtre seccomp en liste noire permissive : Un filtre en liste blanche refusant unshare, setns, clone3 et AF_NETLINK aurait bloqué la chaîne Autoload de modules non nécessaires : L’utilisation de install act_pedit /bin/false (pattern déjà appliqué par Cowork pour un autre module) aurait empêché le chargement de act_pedit Montage du système de fichiers hôte entier : Scoper le montage aux seuls dossiers connectés aurait contenu l’impact même avec guest-root 📌 Statut et mitigation Anthropic a classé le rapport « Informative » (CVE dans la fenêtre de 30 jours du programme). Cowork utilise désormais l’exécution cloud par défaut, ce qui rend ce vecteur d’évasion local inapplicable dans cette configuration. ...

🔍 Contexte Publié le 7 juillet 2026 par Nebula Security (nebusec.ai), cet article de recherche détaille GhostLock (CVE-2026-43499), une vulnérabilité de type stack Use-After-Free (UAF) dans le noyau Linux, découverte par l’équipe VEGA. La faille a été récompensée par Google à hauteur de 92 337 USD dans le cadre du programme kernelCTF. 🐛 Vulnérabilité Type : Stack Use-After-Free (stack-UAF) Composant affecté : kernel/locking/rtmutex.c, fonction remove_waiter() Versions affectées : Linux v2.6.39-rc1 à v7.1-rc1 (introduite en 2011 avec le rework rtmutex) Condition requise : CONFIG_FUTEX_PI=y uniquement — aucun privilège, aucun namespace utilisateur requis Cause racine : remove_waiter() efface current->pi_blocked_on au lieu de waiter->task->pi_blocked_on sur le chemin proxy (rt_mutex_start_proxy_lock()), laissant un pointeur dangling vers une stack frame libérée ⚙️ Mécanisme d’exploitation L’exploit nécessite trois futex et trois threads pour construire un cycle de dépendance PI déclenchant un -EDEADLK : ...

🔍 Contexte Publié le 24 juin 2026 par Mandiant (Google Cloud Blog), ce rapport technique détaille une campagne d’intrusion ciblant l’infrastructure SD-WAN d’un fournisseur de services, identifiée en début d’année 2026. L’analyse couvre une activité s’étendant de fin 2025 à mars 2026. 🎯 Accès initial — Connexions de peering non autorisées De fin 2025 à janvier 2026, Mandiant a observé de multiples connexions de peering non autorisées vers les équipements Cisco Catalyst SD-WAN Manager de la victime. Ces connexions pourraient être liées à l’exploitation de CVE-2026-20127 ou CVE-2026-20182, deux vulnérabilités critiques permettant à un attaquant distant non authentifié de contourner l’authentification et d’obtenir des privilèges administratifs. ...

🔍 Contexte Source : CrowdSec Tracker (https://tracker.crowdsec.net/cves/CVE-2026-8181), publié le 8 juin 2026. La CVE a été initialement publiée sur le NVD le 14 mai 2026. 🐛 Vulnérabilité CVE-2026-8181 est une vulnérabilité critique d’authentification bypass (CVSS : 9.8) affectant le plugin Burst Statistics – Privacy-Friendly WordPress Analytics pour WordPress CMS, dans les versions 3.4.0 à 3.4.1.1. La faille réside dans une mauvaise gestion de la valeur de retour de la fonction is_mainwp_authenticated() lors de la validation des mots de passe d’application issus de l’en-tête Authorization. Un attaquant non authentifié, connaissant le nom d’utilisateur d’un administrateur, peut usurper son identité en fournissant n’importe quel mot de passe en Basic Authentication, aboutissant à une élévation de privilèges. ...

📰 Source : blog.calif.io — Publication du 1er juin 2026, analyse technique rédigée par Calif Global Inc. en hommage au chercheur Nightmare Eclipse, auteur de l’exploit RedSun. 🔍 Contexte général RedSun est un exploit d’élévation de privilèges locale (LPE) affectant Windows Defender sur tout système Windows avec la protection en temps réel activée. Il est référencé sous CVE-2026-41091 et a été découvert par le chercheur Nightmare Eclipse. ⚙️ Cause racine de la vulnérabilité Lorsque Windows Defender (MsMpEng.exe, s’exécutant en NT AUTHORITY\SYSTEM) détecte un fichier portant un tag de reparse Cloud Files (IO_REPARSE_TAG_CLOUD_*), il ne le met pas en quarantaine ni ne le supprime via le chemin normal. À la place, il réécrit le fichier à son emplacement d’origine. Ce comportement, combiné à la possibilité pour un utilisateur standard de manipuler les chemins via des jonctions NTFS, permet de rediriger cette écriture privilégiée vers C:\Windows\System32. ...

🔍 Contexte Publié le 27 mai 2026 par Asim Viladi Oglu Manizada sur son blog personnel, cet article détaille la découverte et l’exploitation d’une vulnérabilité d’élévation de privilèges locale (LPE) baptisée CIFSwitch, affectant le noyau Linux et le paquet cifs-utils. La découverte a été facilitée par l’utilisation d’agents LLM. 🐛 Description de la vulnérabilité La vulnérabilité repose sur une chaîne de bugs logiques à l’intersection du module noyau CIFS et du helper userspace cifs.upcall fourni par cifs-utils : ...