Microsoft enfrenta nueva vulnerabilidad LegacyHive que permite escalada local
El investigador NightmareEclipse publicó LegacyHive, un exploit local para escalar privilegios en Windows, que afecta el servicio de perfiles de usuario.
NightmareEclipse, un conocido cazador de vulnerabilidades zero-day, ha publicado una nueva falla llamada LegacyHive que permite escalar privilegios locales en Windows mediante la manipulación de los hives de usuario en el registro del sistema.
Por qué importa: Esta vulnerabilidad afecta el servicio de perfiles de usuario de Windows y podría ser aprovechada para obtener acceso privilegiado a configuraciones de otros usuarios, aumentando el riesgo en entornos comprometidos.
Lo esencial
LegacyHive explota una debilidad en el servicio profsvc de Windows para montar hives de otros usuarios.
El código de prueba publicado requiere credenciales adicionales y está limitado al hive usrclass.dat.
El exploit completo podría permitir acceso privilegiado, pero no se ha liberado un PoC totalmente funcional ni CVE.
Imagen de referencia: The Register.
Detalles técnicos de LegacyHive
LegacyHive aprovecha una vulnerabilidad de escalada de privilegios locales (LPE) en el servicio de perfiles de usuario (profsvc) de Windows. Este servicio carga los hives del registro que contienen configuraciones específicas de cada usuario, como preferencias de escritorio y aplicaciones. La falla permite que un usuario estándar monte el hive de otro usuario, incluso administradores, dentro de su propio espacio de clases raíz, otorgando acceso de lectura y escritura.
Limitaciones y alcance del exploit publicado
El código de prueba (PoC) liberado por NightmareEclipse está restringido y requiere credenciales adicionales para funcionar, limitándose al hive usrclass.dat. Según el investigador, existen formas más potentes de explotar la vulnerabilidad sin necesidad de credenciales adicionales y que afectan otros hives, pero estas no fueron publicadas para evitar un uso masivo inmediato.
Comparación con vulnerabilidades anteriores de NightmareEclipse
En contraste con exploits previos como BlueHammer y RedSun, que rápidamente derivaron en ataques generalizados, LegacyHive no cuenta con un CVE asignado ni un PoC completo. Esto sugiere un enfoque más cauteloso para limitar su explotación masiva, aunque expertos advierten que atacantes sofisticados podrían desarrollar exploits efectivos a partir del código disponible.
Recomendaciones para profesionales de seguridad
Especialistas en ciberseguridad recomiendan actuar con rapidez para mitigar riesgos, ya que la vulnerabilidad puede ser aprovechada por atacantes que ya tienen presencia en el sistema para escalar privilegios y acceder a datos sensibles de otros usuarios. La ausencia de un parche oficial y la publicación parcial del exploit exigen vigilancia y análisis detallado en entornos corporativos.
Preguntas frecuentes sobre LegacyHive
¿Qué es un hive en Windows?
Un hive es una sección del registro de Windows que almacena configuraciones específicas de usuario o sistema, esenciales para el funcionamiento y personalización del entorno operativo.
¿LegacyHive permite comprometer todo el sistema?
El exploit facilita la escalada de privilegios locales, pero no garantiza un compromiso total del sistema sin combinarse con otras técnicas o accesos previos.
