Um pesquisador vazou o código de uma vulnerabilidade do Windows em resposta à inação da Microsoft.

Um pesquisador de segurança divulgou o código de um exploit de dia zero para Windows, apelidado de BlueHammer. A atitude radical do pesquisador surgiu de uma disputa com o Centro de Resposta da Microsoft (MSRC) sobre como as informações fornecidas seriam tratadas.

Fonte da imagem: xAI

Um pesquisador usando o pseudônimo Chaotic Eclipse publicou o código de exploração no GitHub em 3 de abril. O autor expressou decepção com a forma como a administração do MSRC lidou com as informações sobre o incidente que ele havia fornecido anteriormente e se recusou a explicar os detalhes técnicos de seu método de divulgação da vulnerabilidade. A exploração permite que um atacante local eleve seus privilégios para SYSTEM ou obtenha direitos de administrador elevados. A Microsoft ainda não lançou uma atualização de segurança, fornecendo apenas um comentário superficial sobre a importância da divulgação coordenada de vulnerabilidades.

Will Dormann, um dos principais analistas de segurança da Tharros, confirmou a funcionalidade da exploração. Ele explicou que o ataque é uma escalada de privilégios local que combina uma vulnerabilidade de Time-of-Check to Time-of-Use (TOCTOU) e confusão de caminho. Esse método complexo dá ao hacker acesso ao banco de dados do Security Account Manager (SAM), que armazena os hashes de senhas de contas locais. Isso permite que ele execute um shell de comando com privilégios máximos e comprometa completamente o computador.

Ao mesmo tempo, o autor do código do Chaotic Eclipse e testadores terceirizados identificaram bugs na exploração, que poderiam torná-la instável. Especificamente, na plataforma Windows Server, o código não concede privilégios totais de sistema, mas apenas os eleva ao nível de administrador com uma solicitação de confirmação. Dormann sugeriu que a frustração do autor pode ter sido causada pela exigência da Microsoft de anexar um vídeo demonstrando a exploração.

Apesar da vulnerabilidade exigirO acesso local inicial pode ser facilmente obtido antecipadamente por hackers através de engenharia social ou outras vulnerabilidades de software.