Código de exploit foi divulgado para uma falha de escalonamento de privilégios no Windows ainda não corrigida, reportada privadamente à **Microsoft**, permitindo que atacantes obtenham permissões SYSTEM ou de administrador elevadas. # BlueHammer: Um Zero-Day Não Corrigido no Windows Apelidada de **BlueHammer**, a vulnerabilidade foi publicada por um pesquisador de segurança descontente com a forma como o **Microsoft Security Response Center (MSRC)** lidou com o processo de divulgação. Como a questão de segurança não possui um patch oficial e não há uma atualização para corrigi-la, a falha é considerada um zero-day pela definição da **Microsoft**. Não está claro o que motivou a divulgação pública do código de exploit. Em uma curta postagem sob o pseudônimo Chaotic Eclipse, o pesquisador afirma: "Eu não estava blefando com a Microsoft, e estou fazendo isso de novo." “Diferente das vezes anteriores, não estou explicando como isso funciona; vocês, gênios, podem descobrir. Além disso, um enorme agradecimento à liderança do MSRC por tornar isso possível”, acrescentou o pesquisador. # Divulgação Pública no GitHub Em 3 de abril, Chaotic Eclipse publicou um repositório no GitHub para o exploit da vulnerabilidade **BlueHammer** sob o pseudônimo Nightmare-Eclipse, expressando incredulidade e frustração com a forma como a **Microsoft** decidiu abordar a questão de segurança. "Eu estou realmente me perguntando qual foi a matemática por trás da decisão deles, tipo, vocês sabiam que isso ia acontecer e ainda assim fizeram o que fizeram? Eles estão falando sério?" O pesquisador também observou que o código proof-of-concept (PoC) contém bugs que podem impedir seu funcionamento confiável. # Análise Técnica do Exploit Will Dormann, analista principal de vulnerabilidades na Tharros (anteriormente Analygence), confirmou ao BleepingComputer que o exploit **BlueHammer** funciona, afirmando que a falha é um escalonamento de privilégios local (LPE) que combina TOCTOU (time-of-check to time-of-use) e confusão de caminho. Ele explicou que a questão não é fácil de explorar e que ela dá a um atacante local acesso ao banco de dados do Security Account Manager (SAM), que contém hashes de senhas para contas locais. Com esse acesso, os atacantes podem escalar para privilégios SYSTEM e potencialmente obter o comprometimento completo da máquina. “Nesse ponto, [os atacantes] basicamente possuem o sistema e podem fazer coisas como iniciar um shell com privilégios SYSTEM”, disse Dormann ao BleepingComputer.  Alguns pesquisadores que testaram o exploit confirmaram que o código não funcionou no Windows Server, corroborando a declaração de Chaotic Eclipse de que existem bugs que podem impedir seu funcionamento adequado. Will Dormann acrescentou que na plataforma Server, o exploit **BlueHammer** aumenta as permissões de não-administrador para administrador elevado, uma proteção que exige que o usuário autorize temporariamente uma operação que necessita de acesso total ao sistema. # Processo de Relato de Vulnerabilidades do MSRC Embora a razão por trás da divulgação de Chaotic Eclipse/Nightmare-Eclipse permaneça incerta, Dormann observa que um dos requisitos do **MSRC** ao submeter uma vulnerabilidade é fornecer um vídeo do exploit. Embora isso possa ajudar a **Microsoft** a filtrar as vulnerabilidades reportadas com mais facilidade, adiciona esforço à submissão de um relatório válido. # Mitigação e Risco Embora o **BlueHammer** exija um atacante local para explorá-lo, o risco que ele representa ainda é significativo, pois hackers podem obter acesso local através de uma variedade de vetores, incluindo engenharia social, alavancando outras vulnerabilidades de software ou através de ataques baseados em credenciais. O BleepingComputer contatou a **Microsoft** para comentar sobre a falha **BlueHammer**, e um porta-voz nos enviou a seguinte declaração: "A Microsoft tem um compromisso com o cliente de investigar problemas de segurança reportados e atualizar os dispositivos afetados para proteger os clientes o mais rápido possível. Também apoiamos a divulgação coordenada de vulnerabilidades, uma prática amplamente adotada na indústria que ajuda a garantir que os problemas sejam cuidadosamente investigados e corrigidos antes da divulgação pública, apoiando tanto a proteção do cliente quanto a comunidade de pesquisa de segurança." – um porta-voz da Microsoft *Artigo atualizado em 07/04 para adicionar o comentário da Microsoft*