Se ha descubierto una vulnerabilidad zero-day en Windows, denominada LegacyHive, que permite a usuarios sin privilegios escalar permisos y ejecutar código con derechos administrativos. Esta falla afecta versiones recientes de Windows 10 y Windows Server, y aunque Microsoft aún no ha lanzado un parche oficial, ya existen microparches gratuitos no oficiales para mitigar el riesgo.
Por qué importa: LegacyHive representa un riesgo crítico al permitir que atacantes modifiquen el registro de usuarios con privilegios, facilitando la ejecución de código malicioso en sistemas actualizados.
Lo esencial
- LegacyHive permite a usuarios no administradores montar y modificar el registro de otros usuarios con privilegios.
- Microsoft investiga la vulnerabilidad pero aún no ha asignado un CVE ni publicado un parche oficial.
- ACROS Security ofrece microparches gratuitos que bloquean la explotación al cargar un perfil temporal en lugar del real.
Detalles técnicos de LegacyHive
La vulnerabilidad reside en el servicio de perfiles de usuario de Windows, que permite montar la hive del registro de otro usuario con acceso completo. Esto posibilita extraer secretos almacenados o modificar valores para ejecutar código automáticamente cuando el usuario administrador inicia sesión. El exploit fue publicado junto con una prueba de concepto simplificada para dificultar su uso malicioso.
Respuesta de Microsoft y análisis de expertos
Microsoft confirmó estar al tanto de la vulnerabilidad y está investigando su validez y alcance. Expertos en ciberseguridad como Will Dormann y Kevin Beaumont han verificado que el exploit funciona en sistemas actualizados y han publicado consultas para detectar su uso en Microsoft Defender for Endpoint.
