HiveLegacy: lỗ hổng leo thang đặc quyền trong Windows User Profile Service được công bố cùng ngày phát hành nhiều bản vá
"A Windows zero-day dubbed HiveLegacy was publicly disclosed the same day Microsoft released a record number of security patches. The elevation-of-privilege flaw in the Windows User Profile Service can let a low-privilege user modify an administrator account’s classes registry hive, potentially enabling admin-level code execution; Microsoft said it is investigating, and mitigations include a detection script and monitoring for suspicious hive activity."
Lỗ hổng elevation of privilege có thể giúp kẻ tấn công quyền thấp đạt tới mức quản trị thông qua thao tác classes registry hive của tài khoản admin; nguy cơ tăng do có thể dẫn tới thực thi mã trong ngữ cảnh đăng nhập quản trị.
Nếu bị khai thác, sự cố có thể dẫn đến chiếm quyền quản trị và ảnh hưởng nghiêm trọng đến tính toàn vẹn hệ thống; doanh nghiệp cần ưu tiên chạy script phát hiện và giám sát ProfSvc/hive để giảm thời gian phơi nhiễm.
Ngay sau khi Microsoft phát hành số lượng bản vá bảo mật kỷ lục, một nhà nghiên cứu công bố mã khai thác cho lỗ hổng zero-day Windows được gọi là HiveLegacy. Lỗ hổng này là dạng elevation of privilege nhắm vào Windows User Profile Service (ProfSvc), cho phép tài khoản quyền thấp thay đổi classes registry hive của tài khoản quản trị. Cơ chế này có thể dẫn tới việc thực thi mã mức quản trị khi người dùng quản trị đăng nhập.
Theo các phân tích, khai thác có thể yêu cầu kẻ tấn công biết thông tin đăng nhập của người dùng khác và tên của một tài khoản thứ ba trên cùng máy (tài khoản thứ ba có thể là quản trị hoặc không). Các chuyên gia nhận định đây là một “primitive” mạnh vì kẻ tấn công không cần tự có quyền quản trị; thay vào đó có thể thiết lập để hệ thống chạy mã của họ trong ngữ cảnh phiên đăng nhập của quản trị.
Microsoft cho biết đang điều tra báo cáo lỗ hổng. Khuyến nghị hiện tại gồm chạy detection script do Kevin Beaumont công bố, đồng thời giới hạn tạo tài khoản cục bộ không phải người dùng, giám sát ProfSvc khi nạp hive bất thường và theo dõi hoạt động của NTUSER.DAT/UsrClass.dat.