https://wiki.ixheim.de/index.php?action=history&feed=atom&title=CVE-2026-33825 2026-06-17T17:16:45Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://wiki.ixheim.de/index.php?title=CVE-2026-33825&diff=70425&oldid=prev 2026-05-30T09:36:13Z

<p>Die Seite wurde neu angelegt: „=Beschreibung= CVE-2026-33825, bekannt unter dem Namen „BlueHammer&quot;, ist eine schwerwiegende Sicherheitslücke in Windows Defender, die alle Standard-Install…“</p> <p><b>Neue Seite</b></p><div>=Beschreibung=<br /> CVE-2026-33825, bekannt unter dem Namen „BlueHammer&quot;, ist eine schwerwiegende<br /> Sicherheitslücke in Windows Defender, die alle Standard-Installationen von<br /> Windows 10 und Windows 11 betrifft (CVSS 7.8, „hoch&quot;).<br /> <br /> Die Schwachstelle steckt im Mechanismus, mit dem Windows Defender erkannte<br /> Schadateien unter Quarantäne stellt und bereinigt – der sogenannten<br /> ''File Remediation''. Dieser Prozess läuft mit den höchsten Systemprivilegien<br /> (''NT AUTHORITY\SYSTEM''), weil Defender Dateien löschen oder verschieben muss,<br /> die ein normaler Benutzer gar nicht anfassen dürfte.<br /> <br /> Genau hier liegt das Problem: Zwischen dem Moment, in dem Defender eine Datei<br /> prüft, und dem Moment, in dem er tatsächlich auf sie zugreift, gibt es ein kurzes<br /> Zeitfenster. Dieses Fenster lässt sich ausnutzen – ein klassischer<br /> ''Time-of-Check to Time-of-Use''-Fehler (TOCTOU). Der Angreifer legt zunächst<br /> eine speziell präparierte Datei an, die Defender zur Bereinigung veranlasst.<br /> Während Defender arbeitet, vertauscht er im Hintergrund den Dateipfad durch einen<br /> Verweis auf eine Shadow Copy der Windows-SAM-Datenbank – die Datenbank, in der<br /> Windows Passwort-Hashes speichert. Defender liest die SAM mit SYSTEM-Rechten,<br /> der Angreifer kommt an die Hashes, und aus den Hashes lässt sich eine<br /> SYSTEM-Shell erzeugen.<br /> <br /> Das Besondere an BlueHammer: Es werden ausschließlich legitime Windows-Funktionen<br /> missbraucht – Volume Shadow Copy, Opportunistic Locks und die Cloud Files API.<br /> Kein Schadcode im klassischen Sinne, der von Defender oder anderen<br /> Sicherheitslösungen erkannt werden könnte. Der Angreifer braucht lediglich einen<br /> normalen Benutzeraccount auf dem System – kein Administrator, keine besonderen<br /> Rechte.<br /> <br /> =Hintergrund=<br /> BlueHammer wurde am 7. April 2026 von einem Forscher unter dem Pseudonym<br /> „Chaotic Eclipse&quot; veröffentlicht – zusammen mit einem funktionierenden<br /> Proof-of-Concept-Exploit. Die Veröffentlichung war kein koordinierter Disclosure-<br /> Prozess, sondern ein bewusster Protest: Der Forscher hatte Microsoft mehrfach<br /> über die Lücke informiert, ohne dass eine Reaktion erfolgte.<br /> <br /> Microsoft patchte BlueHammer am 14. April 2026 im Rahmen des regulären<br /> Patch Tuesday. CISA nahm die Lücke am 22. April in den Katalog der aktiv<br /> ausgenutzten Schwachstellen auf und verpflichtete US-Bundesbehörden zur<br /> Behebung bis zum 6. Mai 2026. Noch bevor der Patch erschien, wurde BlueHammer<br /> bereits in echten Angriffen eingesetzt.<br /> <br /> =Proof of Concept=<br /> *git clone https://github.com/chaotic-eclipse/bluehammer/<br /> *cd bluehammer/<br /> ;prüft ob das System verwundbar ist (Windows, PowerShell als normaler Benutzer)<br /> *python bluehammer_check.py<br /> ;führt die Privilege Escalation durch<br /> *python bluehammer.py --shell<br /> <br /> =Fix=<br /> Microsoft hat BlueHammer im April 2026 Patch Tuesday behoben. Die gepatchte<br /> Version der Windows Defender Antimalware Platform ist '''4.18.26030.3011'''.<br /> <br /> ;Aktuelle Defender-Version prüfen (PowerShell)<br /> *Get-MpComputerStatus | Select-Object AMProductVersion, AMEngineVersion<br /> <br /> ;Windows Update ausführen<br /> *Einstellungen → Windows Update → Nach Updates suchen<br /> <br /> ;Über WSUS / Intune<br /> *Defender-Plattform-Updates werden als separate Komponente ausgerollt –<br /> zusätzlich zu regulären Windows-Updates prüfen<br /> <br /> Nach dem Update sollte die Plattformversion mindestens '''4.18.26030.3011'''<br /> anzeigen. Systeme, die kein Windows Update erhalten (z. B. dauerhaft offline),<br /> bleiben verwundbar, solange Defender aktiviert ist.<br /> <br /> [[Kategorie:Security]]</div>

Thomas.will