Fantôme dans les Fils : la faille PhantomRPC de Windows laisse la porte grande ouverte à l’élévation de privilèges

Un vendredi tranquille, Haidar Kabibo, spécialiste intermédiaire en sécurité applicative, a lâché une bombe : une faille systémique tapie au cœur même de l’architecture du système Remote Procedure Call (RPC) de Windows. Baptisée « PhantomRPC », cette vulnérabilité ne nécessite pas d’exploit zero-day sophistiqué - juste un peu d’accès local et une imitation habile. Tandis que Microsoft a discrètement classé l’affaire, les experts en sécurité avertissent que le danger est loin d’être écarté. Alors que les défenseurs s’empressent de protéger leurs réseaux, une question demeure : combien de fantômes hantent déjà les fils ?

En Bref

• PhantomRPC est une faille non corrigée de Windows permettant l’élévation de privilèges via l’usurpation RPC.
• Les attaquants peuvent déployer des serveurs RPC malveillants pour détourner des connexions privilégiées si les services légitimes sont hors ligne.
• Haidar Kabibo de Kaspersky a révélé la faille, mais Microsoft l’a qualifiée de « sévérité modérée » et a refusé de la corriger.
• Aucun CVE n’a été attribué et des exploits de preuve de concept sont publiquement disponibles sur GitHub.
• La mitigation repose sur une gestion et une surveillance rigoureuses des privilèges - aucune correction officielle n’existe.

La Menace Fantôme : comment Windows laisse la porte entrouverte

Le cœur de la faille PhantomRPC réside dans le sous-système RPC de Windows, qui permet aux processus logiciels de communiquer entre eux - même à travers les frontières de privilèges. Lorsqu’un service légitime n’est pas en cours d’exécution, Windows autorise n’importe quel processus à revendiquer son point de terminaison RPC. Cela signifie qu’un attaquant disposant d’un accès même limité (par exemple, un compte Network Service compromis) peut lancer un serveur malveillant en se faisant passer pour le service réel.

Voici où le danger s’aggrave : si un processus privilégié se connecte à ce faux serveur, et que le processus de l’attaquant possède le SeImpersonatePrivilege (une permission courante dans de nombreux comptes de service), l’attaquant peut détourner la connexion et « devenir » l’utilisateur privilégié - passant d’un accès limité à des droits SYSTEM ou administrateur. Les recherches de Kabibo ont identifié cinq chemins distincts pour exploiter cette faille, et son code de preuve de concept a fonctionné sur Windows Server 2022 et 2025, d’autres versions étant probablement vulnérables.

Malgré le risque évident, la réponse de Microsoft a été discrète. L’entreprise a fait valoir que, puisque le SeImpersonatePrivilege est requis, la faille n’est pas critique - ignorant le fait que de nombreux comptes de service possèdent déjà ce privilège. Pas de correctif, pas de CVE, pas de prime. Les chercheurs en sécurité et les équipes IT sont livrés à eux-mêmes.

Selon Kaspersky, la mitigation repose sur deux stratégies principales : surveiller l’activité RPC pour détecter les enregistrements suspects de points de terminaison (surtout lorsque les services légitimes sont hors ligne), et restreindre strictement les processus pouvant obtenir le puissant SeImpersonatePrivilege. Dans certains cas, maintenir les services vulnérables en fonctionnement peut empêcher les attaquants de détourner leurs points de terminaison. Mais ce ne sont que des pansements, pas des remèdes.

Conclusion : Invisible, non corrigé, et incertain

Alors que la poussière retombe, PhantomRPC reste un rappel brutal : parfois, les vulnérabilités les plus profondes ne se cachent pas dans un code obscur, mais dans l’architecture en laquelle nous avons confiance chaque jour. Tant que Microsoft ne reconsidérera pas sa position, les défenseurs de Windows devront rester vigilants - car dans le monde de l’élévation de privilèges, les fantômes sont bien réels, et ils sont déjà dans la machine.

WIKICROOK

• Remote Procedure Call (RPC) : Le Remote Procedure Call (RPC) est un protocole qui permet à des programmes sur différents ordinateurs de communiquer et de demander des services comme s’ils étaient sur la même machine.
• Élévation de privilèges : L’élévation de privilèges se produit lorsqu’un attaquant obtient un accès de niveau supérieur, passant d’un compte utilisateur standard à des privilèges administrateur sur un système ou un réseau.
• SeImpersonatePrivilege : SeImpersonatePrivilege permet aux processus Windows d’usurper l’identité d’autres utilisateurs. C’est essentiel pour les services, mais cela peut être exploité pour l’élévation de privilèges si ce n’est pas sécurisé.
• Compte SYSTEM : Le compte SYSTEM dans Windows est le compte le plus privilégié, offrant un accès illimité à toutes les ressources système pour les opérations essentielles du système d’exploitation et des services.
• Preuve de concept : Une preuve de concept (PoC) est une démonstration montrant qu’une vulnérabilité de cybersécurité peut être exploitée, aidant à valider et à évaluer les risques réels.