Опубликован эксплойт-код для неисправимой уязвимости, позволяющей злоумышленникам получить системные или повышенные права администратора. О проблеме приватно сообщали Microsoft.
Уязвимость, известная как BlueHammer, была опубликована исследователем безопасности, недовольным работой Microsoft Security Response Center (MSRC) по раскрытию информации.
Поскольку официальной исправления нет, Microsoft классифицирует эту проблему как нулевой день.
Неизвестно, что побудило публичный выпуск кода. В коротком заявлении под псевдонимом Chaotic Eclipse исследователь написал: «Я не блефовал Microsoft, и делаю это снова». Он добавил: «В отличие от предыдущих случаев, я не объясняю, как это работает; вы, гении, можете понять сами. Также огромная благодарность руководству MSRC за то, что сделали это возможным».
3 Апреля Chaotic Eclipse опубликовал на GitHub репозиторий эксплойта под псевдонимом Nightmare-Eclipse, выразив недоверие и разочарование в том, как Microsoft решила проблему. Он также предупредил, что PoC содержит ошибки, которые могут мешать его надежной работе.
Как работает BlueHammer
Уилл Дорманн, главный аналитик по уязвимости в Tharros, подтвердил BleepingComputer, что эксплойт работает. Уязвимость – это локальная эскалация привилегий (LPE), сочетающая TOCTOU (время проверки до времени использования) и путаницу с путём.
Проблему нелегко эксплуатировать, но она дает локальному злоумышленнику доступ к базе данных Security Account Manager (SAM), где хранятся хэши паролей локальных аккаунтов. Это позволяет получить привилегии SYSTEM и потенциально полностью скомпрометировать машину.
Некоторые исследователи отметили, что код не работает успешно на Windows Server, подтверждая оговорки Chaotic Eclipse об ошибках. Дорманн добавил, что на Server Эксплойт повышает права с неадминистратора к администратору после временного подтверждения пользователя. Мотивы Chaotic Eclipse/Nightmare-Eclipse остаются неизвестными. Дорманн отмечает, что MSRC обычно требует предоставления видео эксплойта при сообщении об уязвимости. Это помогает Microsoft быстрее отсортировать сообщения, но добавляет дополнительные усилия для исследователей.
Хотя для использования BlueHammer нужен локальный доступ, риск значителен, так как злоумышленники могут его получить через социальную инженерию, другие уязвимости или атаки на учетные данные.
BleepingComputer обратился к Microsoft за комментарием. Представитель компании заявил:
«Microsoft обязана оперативно расследовать уведомленные проблемы безопасности и обновлять пораженные устройства для защиты клиентов. Мы поддерживаем скоординированное раскрытие информации об уязвимости — отраслевую практику, которая обеспечивает тщательное расследование и решение проблем к публичному раскрытию», защищая как клиентов.