Patch Diffing dans le noir

Une série d'articles de blog exploitant l'analyse de CVE et le diffing de correctifs pour découvrir de nouvelles vulnérabilités.

Comme révélé dans les articles, 4 CVE proviennent de l'étude approfondie de CVE-2021-1657.

Sommaire

Résultats de CVE-2021-1657 :

• Partie 1 - Patch Diffing dans le noir
• Partie 2 - Dans le terrier du lapin
• Partie 3 - Touché mais pas coulé
• Partie 4 - Me faites-vous confiance ?

Résultats de CVE-2020-1030 (Recherche bonus) :

• Patch Diffing d'un autre bug du spooler
• Trouver un autre bug du spooler

Correspondance des CVE

Contexte

Cette recherche a été menée par un chercheur en vulnérabilités du CSE dans le cadre du mandat du CSE visant à découvrir des vulnérabilités et à protéger les réseaux et systèmes du gouvernement canadien. Cette recherche a abouti à la découverte de plusieurs vulnérabilités qui ont été examinées conformément au Cadre de gestion des intérêts du CSE et soumises au centre de réponse sécurité de Microsoft. Les résultats ont été publiés sous les références CVE-2022-26917, CVE-2022-26917, CVE-2022-26918 et CVE-2022-26926. Ce travail illustre une méthode de découverte de vulnérabilités de bout en bout. Si ce type de travail vous intéresse, envisagez de postuler au VRC du CSE. Remplissez la demande générale du CSE et sélectionnez « Ingénieur en recherche de vulnérabilités » comme type d'emploi. Si vous avez des questions ou souhaitez fournir des informations supplémentaires pour votre candidature, veuillez envoyer un courriel à [email protected] (Clé PGP).