Эксплойт для уязвимости BlueHammer в Windows опубликован без патча

В открытый доступ выложен эксплойт для неустраненной уязвимости в Windows, позволяющей повысить привилегии до уровня SYSTEM или администратора. Уязвимость, получившая название BlueHammer, ранее была передана Microsoft в рамках приватного раскрытия.

Из-за отсутствия официального патча проблема классифицируется как zero-day по определению Microsoft.

Публикация эксплойта и конфликт с MSRC​

Эксплойт был опубликован исследователем под псевдонимом Chaotic Eclipse, который остался недоволен процессом обработки отчета со стороны Microsoft Security Response Center.

В кратком сообщении он отметил:

"Я не блефовал, Microsoft, и делаю это снова."

Также исследователь добавил, что не будет объяснять принцип работы уязвимости:

"В этот раз я не буду объяснять, как это работает — сами разберетесь."

3 апреля Chaotic Eclipse опубликовал репозиторий с PoC-эксплойтом на GitHub под ником Nightmare-Eclipse, выразив недоумение тем, как Microsoft подошла к обработке уязвимости.

При этом он предупредил, что код содержит ошибки и может работать нестабильно.

Технические детали уязвимости​

По данным Will Dormann, ведущего аналитика уязвимостей компании Tharros (ранее Analygence), эксплойт действительно работоспособен.

Will Dormann (@wdormann@infosec.exchange)

Прикреплено 1 изображение There's a new Windows 0day LPE that has been disclosed called [BlueHammer](https://github.com/Nightmare-Eclipse/BlueHammer). The reporter [suggests](https://deadeclipse666.blogspot.com/2026/04/public-disclosure.html) that it's being disclosed due to how MSRC operates...

infosec.exchange

BlueHammer представляет собой локальную уязвимость повышения привилегий (LPE), основанную на комбинации:

• TOCTOU (time-of-check to time-of-use)
• путаницы путей (path confusion)

Эксплуатация уязвимости предоставляет атакующему доступ к базе данных SAM (Security Account Manager), где хранятся хэши паролей локальных учетных записей.

Получив такой доступ, злоумышленник может повысить привилегии до SYSTEM и фактически полностью скомпрометировать систему.

По словам Дорманна:

"На этом этапе атакующий фактически получает полный контроль над системой и может, например, запустить shell с правами SYSTEM."

Exploit demo

Ограничения и особенности эксплуатации​

Некоторые исследователи подтвердили, что эксплойт не работает на Windows Server, что совпадает с заявлением автора о наличии ошибок в коде.
По словам Дорманна, на серверных системах уязвимость может лишь повышать привилегии с обычного пользователя до администратора. При этом требуется подтверждение действий (UAC), что снижает риск полной компрометации.

Почему это опасно​

Несмотря на то что эксплуатация требует локального доступа, риск остается высоким. Злоумышленники могут получить такой доступ различными способами:

• через социальную инженерию;
• используя другие уязвимости;
• с помощью атак на учетные данные.

После этого BlueHammer может использоваться для полного захвата системы.

Позиция Microsoft​

Компания Microsoft прокомментировала ситуацию следующим образом:

"Microsoft придерживается обязательств по расследованию сообщений об уязвимостях и своевременному обновлению затронутых устройств для защиты пользователей. Мы также поддерживаем практику координированного раскрытия уязвимостей, которая помогает тщательно анализировать и устранять проблемы до их публичного раскрытия."

Источник