Researchers Detail Windows EPM Poisoning Exploit Chain Leading to Domain Privilege Escalation

Escapade dans Windows par Empoisonnement d’EPM

Une faille dans le protocole de communication RPC (Remote Procedure Call) de Windows permettait à des attaquants de se faire passer pour des serveurs légitimes, menant à une escalade de privilèges sur le domaine. Cette vulnérabilité, identifiée comme CVE-2025-49760, a été corrigée par Microsoft en juillet 2025.

Les chercheurs ont démontré qu’il était possible d’empoisonner le “Endpoint Mapper” (EPM) du RPC, un composant qui associe des identifiants d’interface à des points de terminaison. Tel un empoisonnement DNS, cette manipulation permettait à des utilisateurs non privilégiés de tromper des processus protégés pour qu’ils s’authentifient auprès d’un serveur contrôlé par l’attaquant.

La faille exploitait l’absence de vérification d’identité par l’EPM, permettant à des interfaces RPC non attribuées ou dont le service associé avait un démarrage différé d’être enregistrées par un attaquant avant le service légitime.

Points Clés :

• Mécanisme : Empoisonnement de l’EPM (Endpoint Mapper) du protocole RPC.
• Cible : Imiter un serveur RPC légitime.
• Objectif : Escalade de privilèges locale ou de domaine.
• Exploitation : Utilisation de services à démarrage manuel ou d’interfaces non mappées.

Vulnérabilités :

• CVE-2025-49760 : Vulnérabilité de spoofing dans le composant de stockage Windows, impactant le protocole RPC. (CVSS 3.5)

Méthodologie d’Attaque Générale :

1. Empoisonnement de l’EPM : Enregistrement d’une interface RPC légitime avant le service associé.
2. Usurpation d’identité : Se faire passer pour un serveur RPC légitime.
3. Manipulation de clients RPC : Forcer des clients RPC à se connecter au serveur malveillant.
4. Fuite d’informations d’identification : Obtenir les hashes NTLM via une connexion SMB forcée avec le compte machine.
5. Escalade de privilèges : Utiliser les hashes NTLM pour une attaque de type ESC8 via des services d’inscription de certificats (AD CS).

Recommandations :

• Vérification d’identité : L’EPM devrait vérifier l’identité des serveurs RPC, similaire à la validation SSL.
• Surveillance : Surveiller les appels à RpcEpRegister et utiliser Event Tracing for Windows (ETW) pour détecter les activités suspectes.
• Mises à jour : Maintenir les systèmes à jour avec les derniers correctifs de sécurité de Microsoft.

Source