LegacyHive: Neuer Windows-Zero-Day hebelt selbst vollständig gepatchte Systeme aus

LegacyHive ist ein neuer Windows-Zero-Day, der selbst vollständig gepatchte Systeme betrifft. Microsoft untersucht die Schwachstelle.

LegacyHive nutzt eine Schwäche im Windows User Profile Service

Der veröffentlichte Proof of Concept wurde bewusst entschärft

LegacyHive: Kleine Schwachstelle, große Wirkung

LegacyHive: Ein Blick hinter den Exploit

Administratorrechte entstehen nicht automatisch

Lokaler Zugriff bleibt Voraussetzung

Microsoft untersucht den Fall

Nightmare Eclipse verschärft den Konflikt mit Microsoft

Warten auf den Patch ist keine Option

Mit LegacyHive sorgt Sicherheitsforscher Nightmare Eclipse erneut für Aufsehen. Der neue Windows-Zero-Day funktioniert selbst auf vollständig aktualisierten Systemen und ermöglicht eine Rechteausweitung auf Administratorniveau. Microsoft untersucht den Fall inzwischen, ein Sicherheitsupdate gibt es bisher jedoch nicht.

Hatte Microsoft im Juli 2026 erst seinen bisher größten Patch Tuesday ausgerollt, taucht aktuell bereits die nächste unangenehme Überraschung auf. Der Sicherheitsforscher Nightmare Eclipse, auch unter dem Namen Chaotic Eclipse bekannt, veröffentlichte einen neuen Proof of Concept (PoC) mit dem Namen LegacyHive. Die Sicherheitslücke betrifft den Windows User Profile Service (ProfSvc) und soll sich selbst auf vollständig gepatchten Windows-Installationen ausnutzen lassen.

Der veröffentlichte Exploit wurde bewusst eingeschränkt und ist somit nicht ohne Weiteres für Massenangriffe geeignet. Dennoch sorgt die Schwachstelle in der Sicherheitsbranche für erhebliche Unruhe. Sicherheitsforscher, darunter Will Dormann und Kevin Beaumont, haben den Exploit getestet bzw. seine Funktionsfähigkeit bestätigt. Microsoft teilte gegenüber BleepingComputer mit, dass der Konzern die gemeldete Schwachstelle untersucht. Ein offizieller Patch oder eine CVE-Kennung existieren derzeit allerdings noch nicht.

LegacyHive nutzt eine Schwäche im Windows User Profile Service

Die Angriffsfläche für den Exploit bildet der Windows User Profile Service, kurz ProfSvc. Der Dienst verwaltet im Hintergrund Benutzerprofile, Registry-Hives und zahlreiche Einstellungen, die beim An- und Abmelden eines Benutzers geladen werden. LegacyHive nutzt dabei eine Schwachstelle in der Verarbeitung dieser Vorgänge aus und ermöglicht eine Rechteausweitung (Privilege Escalation). Dadurch kann ein Benutzer mit eingeschränkten Berechtigungen SYSTEM-Rechte erlangen.

Nach Angaben von Nightmare Eclipse erlaubt die Schwachstelle das gezielte Einbinden fremder Registry-Hives in den Kontext eines anderen Benutzers. Dies ermöglicht Zugriffe auf Bereiche, die ansonsten höher privilegierten Konten vorbehalten sind. Möglich wird dies durch die Kombination mehrerer Windows-Mechanismen. Dazu gehören manipulierte Registry-Strukturen, symbolische Links im Windows Object Manager sowie eine sogenannte TOCTOU-Race-Condition über Oplocks. Auf diese Weise kann der User Profile Service dazu gebracht werden, eine fremde Registry-Hive zu laden.

LegacyHive basiert dabei nicht auf einem klassischen Speicherfehler wie einem Buffer Overflow. Der Exploit missbraucht vielmehr mehrere legitime Windows-Funktionen, die nicht ausreichend abgesichert ist. Sicherheitsanalysen zeigen, dass insbesondere das Zusammenspiel aus Registry-Verarbeitung, Objektverweisen und dem Profil-Ladevorgang des User Profile Service die Grundlage für die Rechteausweitung bildet.

Die Schwachstelle verdeutlicht, dass auch tief in Windows integrierte Systemfunktionen zur Angriffsfläche werden können, selbst auf vollständig aktualisierten Systemen.

Der veröffentlichte Proof of Concept wurde bewusst entschärft

Im Gegensatz zu einigen früheren Veröffentlichungen hat Nightmare Eclipse den öffentlichen Proof of Concept diesmal eingeschränkt. Für eine erfolgreiche Ausführung werden die Zugangsdaten eines zweiten Standardbenutzers sowie zusätzlich der Benutzername eines Zielkontos benötigt. Dabei kann es sich auch um ein Administratorkonto handeln.

Nach erfolgreicher Ausführung wird die UsrClass.dat-Hive des........

© Tarnkappe