Présentation de la vulnérabilité

Logi Options+ est l’application officielle de Logitech pour configurer souris et claviers sous Windows. Une recherche menée par le groupe AmberWolf a identifié une escalade de privilèges qui permet à un utilisateur standard d’obtenir le compte SYSTEM. La faille, référencée sous le numéro CVE-2026-12518, repose sur le composant logioptionsplus_updater.exe, chargé d’appliquer les mises à jour du produit.

Mécanisme d’exploitation

Le processus de mise à jour fonctionne via un canal IPC (pipe nommé) qui accepte uniquement les connexions provenant d’un agent interne. Ce contrôle d’accès est insuffisant : l’agent s’exécute avec les droits de l’utilisateur et l’attaquant peut injecter son propre processus dans le même pipe. En manipulant le paramètre {depot} de l’endpoint « reinstall », l’attaquant force le composant à lancer msiexec en tant que SYSTEM avec un chemin d’installation contrôlé. Le MSI fourni est non signé, mais le manifeste du package indique isSystem=true, ce qui désactive la vérification de signature et autorise l’exécution avec les privilèges les plus élevés.

Impact et mesures d’atténuation

Une fois le MSI exécuté, l’attaquant obtient un shell SYSTEM, ce qui donne un contrôle total sur le système d’exploitation, y compris la possibilité de désactiver les protections de sécurité, d’extraire des secrets et de persister. La correction a été publiée le 19 août 2026. Les administrateurs doivent vérifier que les postes déployés utilisent une version post‑patch et mettre en place une surveillance des processus msiexec lancés par logioptionsplus_updater.exe, en particulier lorsqu’ils proviennent de répertoires modifiables par les utilisateurs. Un filtrage basé sur le chemin d’accès du MSI (ex. uniquement les répertoires de confiance) réduit le risque d’exécution d’un package non signé.

Limites de l’analyse

Le communiqué de Logitech ne détaille pas le code exact du manifeste ni les paramètres précis du pipe IPC, ce qui empêche une reproduction complète du vecteur d’attaque. De plus, aucune donnée publique n’est disponible sur le nombre d’incidents exploités en production. L’évaluation repose donc uniquement sur les informations fournies par AmberWolf et le CVE publié.