---

📋 Aperçu

MiniPlasma est un puissant exploit d'élévation de privilèges locale ciblant CVE-2020-17103 dans le pilote de mini-filtre Windows Cloud Files (cldflt.sys).

Il permet à tout utilisateur standard d'élever ses privilèges jusqu'à NT AUTHORITY\SYSTEM sur des systèmes Windows 11, Windows Server 2022 et Windows Server 2025 entièrement patchés (en date de juin 2026).

---

🎯 Systèmes affectés

Système d'exploitation	Pris en charge	État du correctif
Windows 11 (toutes versions)	Oui	Non patché
Windows Server 2022	Oui	Non patché
Windows Server 2025	Oui	Non patché
Windows 10	Partiel	Variable

Note : Ne fonctionne pas sur les dernières versions Insider Canary de Windows 11.

---

🔍 Détails techniques

• CVE: CVE-2020-17103
• Composant : cldflt.sys (pilote de mini-filtre Cloud Files)
• Fonction vulnérable : HsmOsBlockPlaceholderAccess
• Type d'exploit : Condition de concurrence + Manipulation de jetons
• Chercheur : Chaotic Eclipse (Nightmare-Eclipse)

Comment ça marche (simplifié)

1. Déclenche des opérations d'hydratation de fichiers fictifs (fichiers de type OneDrive)
2. Manipule les jetons d'emprunt d'identité (valide ↔ anonyme)
3. Entre en concurrence avec les vérifications d'accès du noyau
4. Obtient une exécution de code arbitraire en tant que SYSTEM

---

⚠️ Impact

• Élévation de privilèges : Utilisateur → SYSTEM
• Aucun droit administrateur requis
• Fonctionne depuis le contexte d'un utilisateur standard
• Contourne la plupart des hypothèses des EDR
• Extrêmement dangereux dans les environnements d'entreprise

---

🛠️ Atténuation et recommandations

• Appliquer immédiatement la prochaine mise à jour du Patch Tuesday de Microsoft
• Désactiver les fichiers Cloud Files / OneDrive fictifs si possible
• Utiliser un contrôle d'applications strict (WDAC / AppLocker)
• Surveiller toute activité suspecte de cldflt.sys
• Suivre les principes de moindre privilège

---

📚 Références

• Rapport original de Project Zero (2020)
• Publication publique du PoC MiniPlasma (mai 2026)
• Réponse de sécurité Microsoft

---