MiniPlasma et cldflt.sys: la course de privilège qui pourrait convertir Windows patched en SYSTEM

Le chercheur connu sous le nom Éclipse chaotique récemment publié une preuve de concept (PoC) qui profite d'une vulnérabilité des privilèges d'escalade sur Windows, baptisé comme MiniPlasme, qui devrait permettre à un attaquant d'obtenir des privilèges SYSTEM sur des machines apparemment complètement garées. L'échec est situé dans le contrôleur de filtre de fichiers dans le cloud Windows, CLDflt.sys, dans une routine appelée HsmOsBlockPlaceholderAccess ; selon l'auteur, la même racine du problème a été initialement signalée par James Forshaw de Google Project Zero en 2020.

L'histoire technique est pertinente : en septembre 2020, Forshaw a décrit un problème que Microsoft a atténué en décembre de la même année en vertu de CVE-2020-17103, mais Éclipse chaotique prétend que l'état initial - État de la race dans le mini-filtre code - il reste présent dans la pratique et le PoC original fonctionne inchangé pour produire une console avec des privilèges SYSTEM. La nature des conditions de course rend l'exploitation dépendante des timmings et de l'environnement, mais précisément pourquoi ils peuvent être difficiles à corriger de façon fiable et rester latent derrière les correctifs apparents; pour le contexte technique général, vous pouvez consulter les avertissements du Projet Zero et de Microsoft sur les vulnérabilités: Google Projet Zéro et Centre de réponse de sécurité de Microsoft.

Les implications pratiques sont claires et graves : une escalade locale vers SYSTÈME ouvre la porte pour le contrôle total de l'équipement, la persistance, l'installation des portes arrières et l'avancement latéral dans les réseaux d'entreprise. Plusieurs chercheurs externes, dont Will Dormann, ont indiqué que l'opération fonctionne de façon fiable dans les systèmes Windows 11 avec les mises à jour de mai 2026, mais pas dans toutes les branches d'Insider; cela suggère que le problème ne se limite pas à une version spécifique et que son risque est important dans les environnements hétérogènes.

Historiquement ce n'est pas la première fois que le cldflt. le composant sys apparaît dans les avis de sécurité : Microsoft a également traité en décembre 2025 une autre vulnérabilité d'escalade dans le même pilote (CVE-2025-62221) identifié comme étant exploité sur le terrain. Cet antécédent met en évidence deux points: d'une part, que les contrôleurs liés à l'intégration du stockage en nuage sont des cibles attrayantes pour leur position dans la pile du système; d'autre part, que l'atténuation peut nécessiter des examens profonds et des tests pour éviter les régressions ou les patchs incomplets.

Que peuvent et devraient faire les gestionnaires et les responsables de la sécurité en ce moment? Tout d'abord, de ne pas supposer que le terme "patching" signifie absence de risque: revoir les avis officiels et appliquer toutes les mises à jour recommandées par Microsoft. En outre, il convient de renforcer les contrôles compensatoires: réduire au minimum les privilèges locaux, appliquer des politiques de blocage de la mise en œuvre et la liste blanche, mettre en place des règles EDR et IMS pour détecter les processus inattendus fonctionnant sous le nom de NT AUTHORITY\\ SYSTEM (par exemple cmd.exe ou powershell.exe initiés avec ce jeton), et aux stations segmentées ayant accès à des données critiques pour limiter l'impact d'une escalade locale. Des bases publiques telles que NVD sont disponibles pour l'administration centrale et la recherche de CVE: NVD.

Pour les utilisateurs finaux, les recommandations sont pratiques et simples : tenir Windows à jour, éviter d'exécuter un code source peu fiable avec des privilèges élevés et envisager, lorsque c'est possible, de désactiver les fonctionnalités d'intégration du cloud qui ne sont pas utilisées (par exemple OneDrive On-Demand Files) jusqu'à ce qu'il y ait une clarté sur les correctifs finaux; ces mesures réduisent la surface d'attaque au composant affecté. Les essais d'exploitation devraient se limiter à des environnements de laboratoire contrôlés : faire fonctionner un PoC de production peut compromettre les systèmes et laisser les preuves difficiles à nettoyer.

Enfin, il est important de se rappeler que la publication du Programme d'action public accélère la nécessité d'interventions coordonnées : les équipes d'intervention en cas d'incidents doivent prioriser la détection des étapes locales, examiner la télémétrie historique à la recherche d'exécutions suspectes telles que des obus SYSTEM et préparer des plans de confinement. Maintenir la communication avec les fournisseurs, en suivant le canal officiel de Microsoft pour les mises à jour et la validation des correctifs dans les environnements de test avant de les déployer massivement sont des pratiques qui sont maintenant plus critiques que jamais.