Специалист в области безопасности, известный под псевдонимом Chaotic Eclipse, 3 апреля опубликовал в открытом доступе код эксплойта нулевого дня для операционной системы Windows, получившего название BlueHammer. Этот шаг стал следствием конфликта с Центром реагирования Microsoft (MSRC) относительно обработки информации, которую он предоставил ранее.
Chaotic Eclipse выразил недовольство по поводу подхода MSRC к его отчету об уязвимости и отказался раскрывать технические детали своего метода. Эксплойт предоставляет локальному злоумышленнику возможность повысить свои привилегии до уровня SYSTEM или получить расширенные права администратора. На данный момент Microsoft еще не выпустила патч, ограничившись общим комментарием о важности скоординированного раскрытия уязвимостей.
Ведущий аналитик безопасности компании Tharros, Уилл Дорманн, подтвердил наличие рабочей версии эксплойта. Он отметил, что атака представляет собой локальное повышение привилегий, используя комбинацию уязвимости времени проверки до времени использования (TOCTOU) и путаницу с путями. Данная схема позволяет злоумышленнику получить доступ к базе данных Security Account Manager (SAM), в которой хранятся хеши паролей локальных аккаунтов, что в итоге может привести к запуску командной оболочки с максимальными правами и полному компрометации системы.
Однако сам автор и сторонние тестировщики указали на наличие ошибок в коде, из-за которых его работа может быть нестабильной. В частности, на Windows Server эксплойт не предоставляет полные системные права, а лишь повышает их до уровня администратора с запросом подтверждения. Дорманн также предположил, чо причиной недовольства автора могло стать требование Microsoft прикреплять видео с демонстрацией успешного взлома.
Несмотря на то что уязвимость требует первоначального локального доступа, хакеры могут легко его получить через методы социальной инженерии или другие уязвимости в программном обеспечении.