30 секунд
Исследователь Nightmare Eclipse опубликовал прототип ShieldCrash, который, по его заявлению, обходит исправление Microsoft Defender и позволяет читать произвольные файлы с правами SYSTEM. BleepingComputer сообщила об этом 9 сентября. Автор назвал затронутыми обновлённые Windows 10, Windows 11 и Windows Server, но прямо исключил доступ на запись. Это заявленный исследователем ограниченный прототип, а не подтверждение полного управления системой.
Подробнее
ShieldCrash опубликована после сентябрьских обновлений Windows как новый обход исправления ShieldBreak. BleepingComputer описывает последовательность: ShieldBreak сама обходила RoguePlanet, раскрытую в июне и исправленную Microsoft в июле. В новом сообщении исследователь утверждает, что прежняя проблема всё ещё вызывается при определённых условиях.
Что делает опубликованный прототип
Nightmare Eclipse характеризует текущий PoC как произвольное чтение файлов с правами SYSTEM на поддерживаемых версиях Windows. В статье перечислены Windows 10, Windows 11 и Windows Server. При этом автор отдельно говорит, что доступа на запись этот вариант не предоставляет, и допускает последующую переработку в более полный прототип.
Заявление об уязвимости связано с продолжающимся спором исследователя и Microsoft о вознаграждениях и раскрытии ошибок. На момент подготовки публикации представитель Microsoft не ответил изданию. Независимое воспроизведение ShieldCrash в данном сообщении не описано, поэтому технический результат сохраняет атрибуцию автора прототипа.
Что это значит
Права процесса и возможности кода различаются
В заявлении о ShieldCrash права SYSTEM сопровождаются конкретным действием — чтением файлов. Это сужает смысл результата: повышенный контекст доступа ещё не означает, что опубликованный прототип умеет записывать данные или выполнять любую команду. Для оценки случая важен именно предоставленный примитив, а не только звучное имя уровня прав.
Цепочка RoguePlanet, ShieldBreak и ShieldCrash показывает спор о полноте исправления одного семейства проблем Defender. Однако новое имя и заявление об обходе не заменяют воспроизведения. Возможность расширить PoC обозначена автором как будущая работа; она не добавляет функций уже опубликованному варианту.
