BlueHammer Windows sebezhetőség és a felelős nyilvánosságra hozatal vitája

A biztonsági szakértők körében újabb vita robbant ki a sebezhetőségek nyilvánosságra hozatalának szabályairól. Chaotic Eclipse álnevet használó kutató nyilvánosságra hozott egy Windows zero-day hibáról szóló részleteket, mert elégedetlen volt a Microsoft Security Response Center ügyintézésével. A BlueHammer névre keresztelt sebezhetőség egy helyi jogosultságemelési hiba.

A kutató elmondása szerint eredetileg hivatalos csatornákon jelentette a problémát a Microsoftnak. Azonban az MSRC felülvizsgálati folyamata és kommunikációja annyira elégedetlenné tette, hogy önállóan tette közzé a részleteket. Ez a lépés ellentmond a szokásos koordinált nyilvánosságra hozatal gyakorlatának, amelyben a fejlesztőknek időt adnak a hibák javítására a nyilvános közzététel előtt.

Technikai szempontból a BlueHammer TOCTOU (időellenőrzés és időhasználat közötti) sebezhetőségek és útvonalzavar kombinációját használja ki. Sikeres támadás hozzáférést nyerhet a SAM adatbázishoz, ahol a helyi felhasználói jelszó-kivonatok tárolódnak, lehetővé téve a SYSTEM szintű jogosultságemelést és gyakorlatilag teljes rendszerirányítást.

A kutató megjegyzi, hogy a sebezhetőség kihasználásához helyi hozzáférés szükséges az eszközhöz, és nem minden környezetben működik megbízhatóan, különösen a Windows szerververziókon. Bár ez csökkenti a fenyegetés mértékét, nem szünteti meg annak súlyosságát. A Microsoft megerősítette, hogy vizsgálja az ügyet és javítást készít, hangsúlyozva elkötelezettségüket a felelős sebezhetőség-nyilvánosságra hozatal mellett. A cég kiemelte, hogy céljuk az ilyen hibák nyilvános közzététel előtti kezelése a felhasználói kockázatok minimalizálása érdekében.