Thought Leadership
Für eine ungepatchte Zero-Day-Sicherheitslücke in Windows steht ein inoffizieller Mikropatch bereit. Die Lücke erlaubt die Erhöhung von Benutzerrechten.
Ein Sicherheitsforscher unter dem Pseudonym Nightmare Eclipse hat eine Zero-Day-Schwachstelle im Windows User Profile Service veröffentlich. Die Sicherheitslücke mit der Bezeichnung LegacyHive besitzt bislang keine offizielle CVE-Nummer. Sie ermöglicht es Anwendern ohne Administratorrechte, die Registrierungsstruktur anderer Benutzerkonten mit vollem Zugriff im System einzubinden. Über diesen Mechanismus können Angreifer gespeicherte Anmeldedaten auslesen oder Registrierungswerte so verändern, dass bei der nächsten Anmeldung eines Administrators automatisch schädlicher Code ausgeführt wird. Betroffen sind Systeme ab Windows 10 Version 2004 sowie Windows Server 2022. Ältere Versionen sind nicht anfällig. Mitja Kolsek, Geschäftsführer von ACROS Security, erklärte die Funktionsweise der Schwachstelle:
„Die Schwachstelle ermöglicht es einem normalen Benutzer ohne Administratorrechte, die Registrierungsstruktur eines beliebigen anderen Benutzers im Vollzugriffsmodus einzubinden und dann entweder die gespeicherten Geheimnisse dieses Benutzers zu extrahieren oder Werte in dessen Registrierung zu ändern, um zu beeinflussen, was beim nächsten Anmelden ausgeführt wird.“
Mitja Kolsek, Geschäftsführer von ACROS Security
Bereitstellung inoffizieller Korrekturen durch 0patch
Da Microsoft zum Zeitpunkt der Veröffentlichung noch kein offizielles Sicherheitsupdate und keine CVE-Kennung bereitgestellt hat, entwickelte das Unternehmen ACROS Security inoffizielle Korrekturen über seine Plattform 0patch. Diese sogenannten Mikropatches fügen kleine Code-Anweisungen im Arbeitsspeicher ein, um den anfälligen Programmabschnitt zu ersetzen. Bei aktiviertem Agenten lädt das System bei einem Angriff eine temporäre Benutzerprofil-Struktur anstelle der Administrator-Struktur, wodurch die Rechteausweitung fehlschlägt. Die Ausführung des Patches erfordert keinen Neustart des Betriebssystems.
Ermittlungen bei Microsoft und weitere Schwachstellen
Microsoft bestätigte, dass das Unternehmen die Berichte über die Lücke untersucht und an einer Validierung arbeitet. Der Sicherheitsforscher Nightmare Eclipse hat in den vergangenen Monaten bereits mehrere Zero-Day-Lücken in Windows-Komponenten wie Microsoft Defender und BitLocker offengelegt. Während Microsoft einige dieser Lücken, darunter YellowKey, GreenPlasma und RoguePlanet, in den Patch-Days von Juni und Juli 2026 behoben hat, verbleiben weitere vom Forscher publizierte Schwachstellen vorerst ohne offizielle Sicherheitsupdates.
(red)
