La Vigie Veille · Comprendre · Prendre du recul
Cybersécurité 1 source

Une faille de privilèges Windows exploite une inscription COM orpheline

Une vulnérabilité récemment corrigée dans Windows permettait potentiellement à un utilisateur non privilégié d’exécuter du code avec les droits du système. Le problème venait d’une inscription COM CrossDevice qui pointait vers une DLL absente dans un répertoire accessible aux utilisateurs. L’exploitation pouvait contourner la correction précédente en s’appuyant sur la sérialisation COM personnalisée et sur un service COM exécuté avec les privilèges système. La publication décrit un exploit fonctionnel et une méthode de recherche d’autres inscriptions COM vulnérables.

Technologie

Ce qu’il faut retenir

  1. Microsoft a corrigé la vulnérabilité CVE-2026-66804, présentée comme une correction incomplète de CVE-2026-50343, une faille d’élévation de privilèges dans Windows.
    Sources : Google Project Zero
  2. La cause décrite est une inscription COM CrossDevice qui pointe vers une DLL inexistante située dans un chemin sous C:\ProgramData, un emplacement présenté comme accessible en écriture aux utilisateurs.
    Sources : Google Project Zero
  3. Un utilisateur pouvait potentiellement placer une DLL malveillante à cet emplacement et provoquer son chargement dans un processus privilégié afin d’obtenir une élévation de privilèges.
    Sources : Google Project Zero
  4. La publication explique que l’exploitation pouvait s’appuyer sur le marshaling COM personnalisé pour faire charger la DLL dans un service COM exécuté sous le compte NT AUTHORITY\SYSTEM.
    Sources : Google Project Zero
  5. L’auteur indique avoir identifié le Shell Create Object Handler comme un service COM privilégié n’activant pas les protections pertinentes contre le marshaling personnalisé, et décrit un exploit fonctionnel de la faille.
    Sources : Google Project Zero
  6. La même technique peut, selon l’auteur, servir à rechercher d’autres inscriptions COM orphelines lorsque le serveur DLL référencé est absent.
    Sources : Google Project Zero

Sources

  • Google Project ZeroWindows Exploitation Techniques: Dangling COM Object Registrations Ouvrir l'article ↗