La faille de TeamViewer montre que le PC du dépanneur est la cible facile

Qui est la cible dans une session de support à distance: le client avec son ordinateur portable en panne, ou le technicien qui détient les clés de tous les autres ? La plupart des raisonnements en matière de sécurité supposent le premier. La dernière vulnérabilité de TeamViewer rappelle que le second est un butin bien plus alléchant.

La faille est référencée sous le nom CVE-2026-111585 et affiche un score CVSS de 8,8. SecurityWeek rapporte que la société Remedio avertit qu’elle pourrait être exploitée pour prendre le contrôle du système du visualiseur, c’est-à-dire celui du technicien IT, et la décrit comme un dépassement d’entier dans le composant de traitement de l’écran de contrôle à distance des clients TeamViewer. Selon Daily Security Review, les clients concernés fonctionnent sous Windows, macOS, Linux et Android. Un outil de suivi, Rescana, indique qu’elle ne figure pas dans le catalogue des vulnérabilités connues et exploitées de la CISA et que le correctif consiste à mettre les clients à jour vers la version 15.83. TeamViewer publie également des bulletins de sécurité sur son propre centre de confiance.

Le patient contamine le médecin

La sécurité du support à distance a toujours été pensée autour d’une seule question: comment empêcher un inconnu de s’introduire dans la machine du client ? Mots de passe, demandes de confirmation et codes de session servent cet objectif. Ce bogue inverse le sens. Le technicien se connecte, de son plein gré, à une machine qu’il ne contrôle pas, puis traite tout ce que celle-ci lui renvoie, y compris les données de son écran.

C’est un problème structurel, pas un bogue isolé. Un technicien de support est précisément le genre de personne qui se connecte toute la journée à des machines en panne, suspectes et peut-être compromises. À notre avis, cela fait du visualiseur l’un des logiciels les plus exposés d’une entreprise: il traite des données non fiables venues de l’autre côté, et la personne qui l’utilise dispose souvent de droits élevés et d’un accès à de nombreux autres systèmes. Une seule attaque réussie à cet endroit vaut bien plus que la compromission du PC d’un client.

Il faut rester prudent sur ce que l’on sait. La documentation dont nous disposons décrit une prise de contrôle possible par un hôte distant malveillant, ce qui signifie que l’attaquant doit se trouver de l’autre côté d’une session. Rien n’indique des attaques dans la nature, et nous ne supposerions pas que l’exploitation soit triviale. Mais « nécessite une session » est une maigre consolation quand les sessions sont tout le produit.

Les éditeurs doivent isoler la session, pas seulement corriger le bogue

Les dépassements d’entier dans le code de traitement des médias et de l’écran sont une catégorie de bogues classique. Corriger celui-ci est nécessaire, et une version corrigée est disponible. Ce n’est pas suffisant. Tant que le code qui décode un écran distant s’exécute avec les mêmes privilèges que le compte du technicien, le prochain dépassement aura probablement la même portée.

La réponse raisonnable est l’isolation: décoder le flux distant dans un processus à faibles privilèges, confiné dans un bac à sable (sandbox) qui ne peut pas toucher au reste de la machine, de sorte qu’un plantage, voire une exécution de code, reste contenu. Nous pensons que ce devrait être la conception par défaut de tout outil dont le rôle est de regarder l’ordinateur de quelqu’un d’autre. Les éditeurs vendent ces produits sur la commodité et la portée; l’investissement moins glamour consiste à supposer que l’autre extrémité est hostile.

Les équipes IT doivent traiter chaque connexion comme hostile, dans les deux sens

Pour les défenseurs, la leçon pratique est peu coûteuse. Premièrement, mettre les clients à jour; Rescana indique la version 15.83. Deuxièmement, cesser de lancer des sessions de support depuis le poste où le technicien lit ses courriels et détient ses identifiants d’administrateur. Une machine dédiée et verrouillée, ou un bureau virtuel, pour le support sortant transforme une éventuelle compromission du domaine en simple réinstallation. Troisièmement, n’accorder au compte de support que l’accès dont il a besoin, afin qu’un visualiseur détourné ne soit pas un passe-partout.

Rien de tout cela n’est exotique. C’est la même discipline que les entreprises appliquent déjà à un navigateur qui ouvre des sites inconnus. Les outils de support à distance méritent la même méfiance, car ils sont en réalité un navigateur braqué sur l’ordinateur entier de quelqu’un d’autre.

Notre verdict

Ce qu’il faut retenir n’est pas que TeamViewer ait eu un bogue; tout grand produit en a. Ce qu’il faut retenir, c’est que le modèle de confiance du support à distance est à l’envers depuis des années. Mettez à jour dès maintenant, mais voyez dans ce correctif une incitation à isoler le côté du technicien. Si un éditeur ne sait pas vous dire comment son visualiseur est isolé dans un bac à sable, partez du principe qu’il ne l’est pas.