Toujours sans correctif officiel, la faille zero-day LegacyHive dispose désormais d’un micropatch gratuit proposé par 0patch. Une protection provisoire, en attendant la réponse de Microsoft.
Révélée quelques minutes seulement après la publication du Patch Tuesday de juillet, LegacyHive échappe forcément aux correctifs livrés ce jour-là. La faille permet à un utilisateur standard de piéger le profil d’un autre compte afin d’y déclencher du code lors de sa prochaine ouverture de session, avec des droits potentiellement plus élevés. Microsoft enquête toujours, mais n’a publié ni identifiant CVE ni correctif. 0patch a donc décidé de prendre les devants.
Un micropatch pour neutraliser LegacyHive
Pour rappel, LegacyHive a été dévoilée par Nightmare Eclipse, qui enchaîne depuis avril les divulgations de failles Windows, parmi lesquelles BlueHammer, RedSun et RoguePlanet. Le chercheur reproche à Microsoft de mal gérer les signalements et de laisser traîner les procédures de divulgation coordonnée. Pour mettre l’entreprise sous pression, il publie désormais ses découvertes et leurs preuves de concept sans attendre la mise à disposition de correctifs.
C’est exactement ce qui s’est passé avec LegacyHive. La faille touche le service chargé de gérer les profils utilisateurs de Windows. Un compte standard peut l’exploiter pour accéder au profil d’un autre utilisateur, y récupérer des informations sensibles ou modifier les programmes exécutés lors de sa prochaine connexion. Si le compte visé dispose de droits administrateur, l’attaquant peut ainsi obtenir des privilèges plus élevés.
Faute de solution officielle, ACROS Security a publié un micropatch gratuit via 0patch, sa plateforme spécialisée dans les correctifs provisoires pour les failles encore non prises en charge par les éditeurs. La protection couvre Windows 10 à partir de la version 2004, Windows 11 et Windows Server 2022 ou ultérieur. Elle nécessite néanmoins de créer un compte 0patch et d’installer son agent sur les machines concernées.
Microsoft poursuit son enquête
Interrogé par BleepingComputer, Microsoft affirme avoir connaissance de la vulnérabilité et enquêter sur la validité ainsi que la portée des informations publiées. La faille n’a toutefois toujours pas reçu d’identifiant CVE, et l’éditeur n’a communiqué ni correctif ni calendrier de prise en charge.
Son exploitation exige néanmoins un accès préalable à la machine, par exemple au moyen d’un compte standard. LegacyHive ne permet donc pas, à elle seule, de compromettre un PC à distance. Elle peut en revanche transformer un accès limité en compromission beaucoup plus grave.
Le micropatch de 0patch offre une protection provisoire, mais ne remplacera pas la future mise à jour de Microsoft, qui devra être installée dès sa publication.
