Description
Sous Windows, OpenVPN s’appuie sur un service interactif qui tourne avec des privilèges élevés : il configure les routes et les interfaces réseau pour le compte de l’utilisateur, qui lui n’a pas les droits administrateur. Les deux composants communiquent par un canal nommé (named pipe).
La faille CVE-2024-27459 se situe dans le traitement des messages reçus sur ce canal : des données spécialement construites provoquent un débordement de pile dans le service. Comme ce service fonctionne avec davantage de privilèges que l’utilisateur, l’exploitation réussie peut aller au-delà d’un simple plantage et permettre l’exécution de code avec ces privilèges.
Pourquoi c’est important pour une entreprise
L’attaque est locale : elle suppose déjà un accès au poste. Elle devient donc dangereuse en seconde étape, après un phishing ou l’installation d’un logiciel malveillant, pour transformer un compte utilisateur limité en contrôle total de la machine. C’est précisément le type de faille qu’un attaquant enchaîne pour désactiver l’antivirus ou récupérer des identifiants.
Ce que nous recommandons
- Déployer OpenVPN 2.6.10 ou plus récent sur l’ensemble des postes Windows.
- Retirer les droits administrateur locaux aux utilisateurs qui n’en ont pas besoin.
- Surveiller les plantages répétés du service OpenVPN dans l’EDR ou les journaux Windows : ils peuvent signaler une tentative d’exploitation.