Nightmare Eclipse, un investigador de seguridad conocido por revelar vulnerabilidades zero-day en productos de Microsoft, ha publicado un nuevo exploit llamado LegacyHive. Esta vulnerabilidad afecta al servicio User Profile de Windows y permite a un atacante escalar privilegios locales cargando hives de otros usuarios, incluidos administradores.
Por qué importa: LegacyHive representa un riesgo crítico porque permite a usuarios estándar acceder a datos y configuraciones de cuentas con mayores privilegios, incluso en sistemas con los parches de julio de 2026 instalados.
Lo esencial
- LegacyHive es un exploit local de escalada de privilegios en el servicio User Profile de Windows.
- Funciona en sistemas con los parches de seguridad de Microsoft de julio de 2026 aplicados.
- El código de prueba de concepto fue publicado con limitaciones para evitar su explotación inmediata.
Detalles técnicos del exploit LegacyHive
El exploit aprovecha una falla en cómo Windows maneja las hives de usuario, específicamente la carga de archivos usrclass.dat. LegacyHive permite montar la hive de otro usuario en la raíz de clases del usuario actual, lo que puede incluir cuentas administrativas. Para ejecutarlo, se requieren credenciales de un usuario estándar y un tercer nombre de usuario, que puede ser administrador.
Originalmente, el exploit no necesitaba credenciales y podía cargar cualquier hive, pero el investigador decidió limitar el código para evitar ataques inmediatos. Esto indica que la vulnerabilidad es más grave de lo que muestra el PoC actual.