Нова критична уязвимост в Microsoft Windows, известна като BlueHammer, привлече вниманието на експертите по киберсигурност, след като публичен exploit код беше публикуван в интернет.
Проблемът е класифициран като zero-day, тъй като към момента няма наличен официален patch от Microsoft.
Конфликт с MSRC и публично разкриване
Уязвимостта е била първоначално докладвана частно до Microsoft Security Response Center (MSRC).
Въпреки това, изследователят, известен под псевдонима Chaotic Eclipse, публикува exploit кода в GitHub, изразявайки недоволство от начина, по който Microsoft е обработила сигнала.
„Не блъфирах Microsoft… и ще го направя отново.“
Това поведение подчертава напрежението, което понякога възниква между изследователи и доставчици при процеса на responsible disclosure.
Как работи атаката
Според анализ на експерти, включително Уил Дорман, BlueHammer представлява локална ескалация на привилегии (LPE), базирана на комбинация от:
- TOCTOU (time-of-check to time-of-use) уязвимост
- Path confusion атака
Експлойтът позволява:
- Достъп до Security Account Manager (SAM)
- Извличане на password hash-ове
- Ескалация до SYSTEM ниво
На практика – пълен контрол върху системата.
Ограничения и реална заплаха
Въпреки сериозността, има някои ограничения:
- Изисква локален достъп до машината
- PoC кодът съдържа бъгове и не винаги работи надеждно
- При Windows Server може да осигури само повишени администраторски права (не директно SYSTEM)
Въпреки това рискът остава висок, тъй като локалният достъп може да бъде постигнат чрез:
- Социално инженерство
- Кражба на идентификационни данни
- Комбинация с други уязвимости
Какво означава това за организациите
Появата на публичен exploit без наличен patch създава класически window of exposure:
- Нападателите могат да използват кода веднага
- Защитата разчита на компенсиращи мерки
- Няма официално решение от производителя
Препоръчителни мерки
Докато няма официален patch, организациите трябва да:
- Ограничат локалния достъп и правата на потребителите
- Прилагат принципа least privilege
- Засилят мониторинга за подозрителни локални активности
- Използват EDR/XDR решения за откриване на аномалии
- Следят за необичайни достъпи до SAM
BlueHammer показва един от най-опасните сценарии в киберсигурността:
Публичен exploit + липса на patch = максимален риск
Случаят подчертава и друг важен аспект – необходимостта от ефективна комуникация между изследователи и доставчици, за да се избегнат подобни ситуации.
