LegacyHive: PoC leo thang đặc quyền cục bộ trên Windows nhắm profsvc và tải hive Registry
"NightmareEclipse published a partial proof-of-concept for a Windows local privilege escalation flaw dubbed LegacyHive, affecting the Windows User Profile Service (profsvc) and arbitrary registry hive loading. The PoC is incomplete, requires additional user credentials, and lacks a CVE identifier, but it could still enable post-compromise access to other users' hives, including administrator hives; no vendor fix was announced in the article, though Microsoft had already patched 622 issues in the latest Patch Tuesday and previously mitigated an earlier zero-day."
LegacyHive có thể tạo điều kiện post-compromise LPE thông qua tải hive Registry tùy ý trong profsvc; dù PoC chưa hoàn chỉnh và thiếu CVE, rủi ro vẫn đáng kể nếu kẻ tấn công tự hoàn thiện khai thác.
Tác động chủ yếu đến vận hành là nguy cơ mở rộng quyền sau khi đã xâm nhập, dẫn tới chiếm quyền người dùng khác và tăng khả năng lan chuyển trong nội bộ; mức độ ảnh hưởng phụ thuộc vào việc hệ thống đã được vá và khả năng phát hiện sớm.
Một nhóm săn lỗ hổng có tên NightmareEclipse đã công bố LegacyHive, một zero-day leo thang đặc quyền cục bộ (LPE) trên Windows. Điểm nhắm của mã PoC là Windows User Profile Service (profsvc) và cơ chế tải hive Registry tùy ý, cho phép kẻ tấn công (nếu khai thác thành công) có thể giành quyền đọc/ghi đối với hive của người dùng khác.
Theo bài viết, LegacyHive liên quan đến các user hives của Windows Registry, nơi lưu cấu hình như thiết lập desktop, tùy chọn ứng dụng và biến môi trường. Tuy nhiên, PoC được công bố được mô tả là chưa hoàn chỉnh, không có mã định danh CVE, và yêu cầu thông tin xác thực người dùng bổ sung; bản PoC hiện tại cũng bị giới hạn ở usrclass.dat.
Các chuyên gia nhận định đây vẫn là một “primitive” hữu ích sau khi đã chiếm được quyền trong hệ thống, vì có thể hỗ trợ truy cập vào hive của người khác, bao gồm cả hive của tài khoản quản trị. Bài viết không nêu thông tin về bản vá cụ thể cho LegacyHive, trong khi Microsoft vừa phát hành Patch Tuesday với 622 bản sửa lỗi. Khuyến nghị: ưu tiên rà soát trạng thái vá hệ thống, theo dõi hoạt động liên quan đến profsvc/hive Registry, và sẵn sàng ứng phó nhanh khi xuất hiện khai thác hoàn chỉnh.