Une faille TeamViewer corrigée permet à la machine contrôlée de s'en prendre à l'ordinateur qui la pilote à distance.

TeamViewer vient de corriger une faille TeamViewer d’un genre inhabituel. Habituellement, le risque vient du visiteur qui prend la main sur une machine. Ici, c’est l’inverse. Autrement dit, la machine contrôlée peut attaquer l’ordinateur qui s’y connecte.

Une faille TeamViewer qui inverse les rôles

Pour comprendre, il faut d’abord rappeler le vocabulaire. Dans une session TeamViewer, l’ordinateur qui se connecte et prend le contrôle est le viewer. Par ailleurs, la machine pilotée à distance est l’hôte.

Or, la faille corrigée touche précisément ce lien de confiance. Ainsi, un hôte malveillant, ou compromis, peut s’en servir contre le viewer. Autrement dit, la personne qui vient aider ou administrer devient la cible.

Ce scénario est important. En effet, on imagine rarement qu’une session distante puisse se retourner contre celui qui la pilote. Pourtant, tout flux de données échangé entre deux machines peut devenir un vecteur d’attaque. TeamViewer n’échappe donc pas à cette règle.

Ce que l’attaquant peut provoquer côté viewer

Selon les informations disponibles, un hôte hostile peut d’abord faire planter TeamViewer sur le viewer. Il s’agit donc, au minimum, d’un déni de service sur l’application du technicien.

Cependant, l’impact ne s’arrête pas forcément là. Selon la plateforme utilisée par le viewer, l’attaquant pourrait obtenir des effets plus graves que le simple plantage. Toutefois, les informations dont nous disposons sont incomplètes sur ce point précis. Il convient donc de consulter l’avis de sécurité de l’éditeur. Vous connaîtrez ainsi la portée exacte du risque.

De même, ces informations ne précisent ni identifiant CVE ni numéros de versions corrigées. Par conséquent, nous ne les citons pas ici. Mieux vaut s’appuyer sur la documentation officielle de TeamViewer plutôt que sur des chiffres invérifiables.

Il faut toutefois retenir un point technique essentiel. L’attaque suppose que l’hôte soit déjà hostile ou compromis. De plus, une session doit être établie. Elle n’est donc pas exploitable par n’importe qui, à distance et sans interaction. En revanche, elle devient plausible dans plusieurs situations courantes.

Pourquoi cette faille TeamViewer concerne les équipes IT

Les premiers exposés sont les professionnels qui se connectent à des machines qu’ils ne maîtrisent pas. Plusieurs profils sont concernés :

• les équipes de support informatique, qui dépannent des postes d’utilisateurs ;
• les prestataires et infogéreurs, qui administrent les parcs de leurs clients ;
• les techniciens qui interviennent sur des machines inconnues ou mal protégées ;
• les entreprises qui laissent des postes tiers accessibles à distance.

En effet, un technicien dispose souvent de privilèges élevés. Son poste contient des identifiants, des accès à d’autres clients et des outils d’administration. Par conséquent, si un hôte piégé compromet ce poste, l’attaquant change d’échelle.

Par ailleurs, ce type de faille attire les cybercriminels. D’abord, ils peuvent infecter un poste faiblement protégé. Ensuite, ils attendent qu’un technicien s’y connecte pour dépanner l’utilisateur. Le piège se referme alors sur un poste bien plus intéressant. Cette stratégie de rebond est déjà bien connue dans les attaques contre les prestataires de services.

Comment réduire le risque

La première mesure est simple. Il faut mettre à jour TeamViewer sur tous les postes qui servent de viewer. Les correctifs publiés par l’éditeur doivent être déployés sans attendre, notamment sur les postes des administrateurs.

Ensuite, il est utile de limiter l’exposition. Voici quelques bonnes pratiques à appliquer :

• ne vous connectez qu’à des machines dont vous connaissez l’état de sécurité ;
• isolez les postes de support dans un environnement dédié, séparé du reste du réseau ;
• limitez les privilèges du compte utilisé pendant les sessions ;
• surveillez les plantages inattendus de l’application, qui peuvent signaler une tentative d’exploitation.

Enfin, les organisations devraient tenir un inventaire des outils d’accès à distance. En effet, un logiciel oublié et non mis à jour reste une porte d’entrée facile.

Ce qu’il faut retenir

• TeamViewer a corrigé une faille qui permet à l’hôte de s’attaquer au viewer.
• Un hôte malveillant ou compromis peut faire planter TeamViewer sur le viewer.
• Selon la plateforme, l’impact peut dépasser le simple plantage. C’est pourquoi il faut consulter l’avis officiel de l’éditeur.
• Les équipes de support et les prestataires IT sont les plus exposés.
• Mettez à jour le logiciel, isolez les postes d’administration et limitez les privilèges.

Cette affaire rappelle une réalité simple. Dans une session à distance, la confiance doit fonctionner dans les deux sens. Un poste contrôlé n’est donc pas toujours un poste sûr.

Source : TeamViewer Flaw Lets Remote Computers Attack Users Who Connect to Control Them