انتشار اکسپلویت روز-صفر جدید ویندوز با قابلیت دستیابی به SYSTEM

کمیته رکن چهارم – پژوهشگر امنیتی Chaotic Eclipse کد اثبات مفهوم یک آسیب‌پذیری روز-صفر جدید در ویندوز را منتشر کرده که به مهاجمان اجازه می‌دهد روی سیستم‌های کاملاً به‌روزشده ویندوز به سطح دسترسی SYSTEM دست پیدا کنند. این نقص با نام MiniPlasma شناخته می‌شود.

به گزارش کمیته رکن چهارم، آسیب‌پذیری MiniPlasma مؤلفه cldflt.sys یا Windows Cloud Files Mini Filter Driver را هدف قرار می‌دهد. این نقص در تابعی با نام HsmOsBlockPlaceholderAccess قرار دارد و نخستین‌بار در سال ۲۰۲۰ توسط James Forshaw، پژوهشگر Google Project Zero، به مایکروسافت گزارش شده بود.

در آن زمان تصور می‌شد مایکروسافت این مشکل را تحت شناسه CVE-2020-17103 برطرف کرده است، اما Chaotic Eclipse اعلام کرده بررسی‌های جدید نشان می‌دهد آسیب‌پذیری همچنان وجود دارد و وصله امنیتی قبلی کامل نبوده است.

این پژوهشگر توضیح داده که PoC اولیه منتشرشده توسط Google Project Zero بدون تغییر همچنان روی نسخه‌های جدید ویندوز کار می‌کند و او موفق شده آن را به یک Exploit کامل برای باز کردن Shell با دسترسی SYSTEM تبدیل کند.

به گفته وی، این آسیب‌پذیری از نوع Race Condition است و اگرچه میزان موفقیت ممکن است بسته به سیستم متفاوت باشد، اما Exploit روی سیستم‌های آزمایش‌شده به‌صورت قابل‌اعتماد اجرا شده است.

پژوهشگر امنیتی Will Dormann نیز اعلام کرده MiniPlasma روی ویندوز ۱۱ با آخرین به‌روزرسانی‌های مه ۲۰۲۶ توانسته به‌طور پایدار cmd.exe با سطح دسترسی SYSTEM اجرا کند. با این حال، او اشاره کرده که این Exploit روی نسخه Insider Preview Canary دیگر کار نمی‌کند؛ موضوعی که احتمال اعمال اصلاحات غیرعلنی توسط مایکروسافت را مطرح می‌کند.

Chaotic Eclipse هشدار داده احتمالاً تمامی نسخه‌های ویندوز تحت تأثیر این نقص قرار دارند و هنوز هیچ وصله رسمی برای آن منتشر نشده است.

پیش‌زمینه

در سال‌های اخیر، مؤلفه‌های مرتبط با Cloud Files و درایورهای سیستمی ویندوز بارها هدف پژوهشگران امنیتی و مهاجمان قرار گرفته‌اند، زیرا آسیب‌پذیری‌های موجود در این بخش‌ها معمولاً امکان ارتقای سطح دسترسی به SYSTEM را فراهم می‌کنند؛ سطحی که کنترل کامل سیستم را در اختیار مهاجم قرار می‌دهد.

Chaotic Eclipse پیش‌تر نیز چندین آسیب‌پذیری مهم دیگر از جمله YellowKey و GreenPlasma را افشا کرده بود که برخی از آن‌ها به دور زدن BitLocker و دستیابی به دسترسی‌های سیستمی منجر می‌شدند.

جمع‌بندی

انتشار عمومی PoC مربوط به MiniPlasma می‌تواند خطر سوءاستفاده عملی از این آسیب‌پذیری را به‌طور قابل‌توجهی افزایش دهد، به‌ویژه اگر مهاجمان آن را با سایر ضعف‌های امنیتی زنجیره کنند. کارشناسان هشدار می‌دهند نقص‌های ارتقای سطح دسترسی حتی اگر به‌تنهایی امکان نفوذ اولیه نداشته باشند، در حملات واقعی برای تثبیت دسترسی و کنترل کامل سیستم اهمیت بالایی دارند.

منبع: The Hacker News