TL;DR
Zero-Day Publicerad: En forskare släppte en fungerande Windows-privilegieeskaleringsexploat kallad BlueHammer på GitHub efter att Microsoft inte svarade. Så fungerar det: BlueHammer utnyttjar ett tävlingstillstånd i Windows Defenders uppdateringsmekanism för att ge angripare åtkomst på SYSTEM-nivå. Detektionsgap: Endast 8 av 72 cybersäkerhetsleverantörer på VirusTotal flaggar för närvarande exploateringsfilen som skadlig. MSRC-kritik: Säkerhetsexperter säger att Microsoft rensade ut sitt svarsteam för sårbarhet och ersatte skickliga analytiker med processbunden personal.
En säkerhetsforskare har publicerat en fungerande exploatering för en Windows zero-day på GitHub efter att Microsofts Security Response Center misslyckades med att agera på sårbarhetsrapporten. Dubbad BlueHammer, det oparpade felet ger angripare privilegier på SYSTEMnivå genom ett tävlingstillstånd i Windows Defenders signaturuppdateringsmekanism.
I april skrev jag inte upp Chaotic Eclipse, jag skrev” laddade upp Eclipse. Microsoft, och jag gör det igen.”Sedan dess har förvaret samlat på sig över 100 gafflar och nästan 300 stjärnor på GitHub, vilket tyder på snabbt intresse från både forskare och potentiella angripare.
Will Dormann, en främsta sårbarhetsanalytiker på Tharros, 751180″BlueHammer exploit fungerar, om inte med full tillförlitlighet. Microsoft har inte släppt en korrigeringsfil.
Så fungerar BlueHammer
BlueHammer är ett lokalt privilegieupptrappningsfel som kombinerar ett race-of-OU)-tillståndtime-of-OU (check-to-to-OU) väg förvirring. Justin Elzem, CTO på TrustedSEC, förklarade att sårbarheten utnyttjar Windows Defenders signaturuppdateringsmekanism, där en privilegierad tjänst kan följa en direktangreppsväg som körs som en privilegierad fil. mitt i driften med hjälp av symboliska länkar och korsningar. Eftersom Windows Defender körs med de högsta tillgängliga privilegierna, blir själva tjänsten attackvektorn.
När den lyckats ger utnyttjandet åtkomst till SAM-databasen som innehåller lösenordshaschar för alla lokala konton, vilket möjliggör fullständig SYSTEM-eskalering. Dormann sa att”vid den tidpunkten äger [angriparna] i princip systemet, och kan göra saker som att skapa ett SYSTEM-privilegierat skal.”
På Windows Server beter sig exploateringen annorlunda, den höjs från icke-admin till förhöjd administratör snarare än att ge full SYSTEM-åtkomst. Publicerad proof-of-concept exploateringskod innehåller också avsiktliga buggar som kan förhindra tillförlitlig exploatering direkt, även om skickliga angripare sannolikt skulle kunna ta bort dem.
The Disclosure Breakdown
Konflikten mellan Chaotic Eclipse och Microsofts säkerhetsteam eskalerade under flera veckor. Den 26 mars publicerade forskaren ett offentligt avslöjande på sin blogg som varnade för att exploateringen skulle släppas om MSRC inte svarade, och utnämnde direkt MSRC till Vice President of Engineering.
Tidigare fall av en forskare som publicerade en Windows nolldag på GitHub efter ett sammanbrott i samordnad avslöjande gör detta mönster bekant. När utnyttjandet avbröts, tackade Chaotic Eclipse sarkastiskt MSRC-ledningen för att de”gjorde detta möjligt”och vägrade, till skillnad från tidigare avslöjanden, att tillhandahålla någon teknisk beskrivning.
En viktig stridspunkt var att MSRC enligt uppgift krävde en video av utnyttjandet när de skickade in en sårbarhet. Microsoft sa senare att videodemonstrationer inte är ett krav för att lämna in uppgifter. Dormann erbjöd ett skarpt sammanhang om sammanbrottet:
“MSRC brukade vara utmärkt att arbeta med. Men för att spara pengar sparkade Microsoft de skickliga personerna och lämnade flödesschemaföljare. Jag skulle inte bli förvånad om Microsoft avslutade ärendet efter att reportern vägrade att skicka in en video av exploateringen, eftersom det tydligen är ett MSRC-krav Will Dormann, främsta sårbarhetsanalytiker på Tharros
Bredare risk och Outlook
Omedelbar risk för Windows-användare täcks av dålig upptäckt. Endast 8 av 72 cybersäkerhetsleverantörer på VirusTotal flaggar för närvarande exploateringsfilen som skadlig. Eftersom proof-of-concept är skrivet i C och allmänt tillgängligt, kan angripare kompilera om varianter med unika hash för att undvika signaturbaserad upptäckt helt.
I sitt officiella svar betonade Microsoft sitt engagemang för samordnad avslöjande av sårbarheter utan att ta itu med MSRC-kommunikationsuppbrottet. Tidigare instanser där Microsoft lämnar ett oparpat Windows zero-day utan en fix medan hotaktörer aktivt utnyttjar det gör mönstret alltför bekant.
“Microsoft har ett kundåtagande att undersöka rapporterade säkerhetsproblem och uppdatera berörda enheter för att skydda kunderna så snart som möjligt. Vi stöder också samordnade sårbarhetsproblem som tas upp i branschen och säkerställer att branschen noggrant åtgärdar sårbarhetsproblem, en praxis som noggrant åtgärdas. avslöjande, vilket stödjer både kundskydd och säkerhetsforskningsgemenskapen.”
Microsofts talesman
En ökande klyfta mellan Microsofts uttalade engagemang och MSRC:s hantering av BlueHammer-rapporten understryker en återkommande spänning i säkerhetsbranschen: när program för avslöjande av sårbarhet inte svarar, står forskare inför ett obekvämt val mellan att sätta sig in i en farlig bugg.
