Microsoft rregullon dy zero‑day pas polemikës me hulumtuesin Nightmare Eclipse

Microsoft publikoi të martën një paketë përditësimesh që përfshin rregullimin e dy cenueshmërive me gravitet të lartë, të cilat ishin zbuluar nga hulumtuesi nën pseudonimin Nightmare Eclipse. Hulumtuesi ka qenë në konflikt me gjigantin e softuerit, duke pretenduar se Microsoft e shkel një marrëveshje paraprake për trajtimin e këtyre cenueshmërive. “Por dikush e shkelë marrëveshjen tonë dhe më la pa strehë, pa asgjë,” shkroi Nightmare Eclipse në mars. “Ata e dinin këtë dhe megjithatë më tradhën, kjo është vendimi i tyre, jo i im.”

Një nga përmirësimet e reja adreson cenueshmërinë CVE‑2026‑45586, e njohur si GreenPlasma, e cila lejon një eskalim të privilegjeve lokale pa ndërhyrje të përdoruesit. Microsoft e ka përshkruar këtë dobësi si rezultat të “zgjidhjes së gabuar të lidhjeve para aksesit në skedarë” në Windows Collaborative Translation Framework, dhe ka theksuar se, ndonëse ka potencial për shfrytëzim aktiv, nuk ka prova të përdorimit të saj në natyrë.

Rregullimi i dytë përfshin cenueshmërinë MiniPlasma, e cila është e lidhur me CVE‑2020‑17103, një problem që Microsoft e korrigjoi për herë të parë para gjashtë vjetësh, por që u riktheu si regresion në versionet e reja të sistemit. Sipas kompanisë, kjo tregon se përmirësimi i mëparshëm nuk ishte i plotë dhe po përditësohet buletini i martës për të theksuar këtë rishpallje.

Përveç këtyre dy zero‑day, Microsoft ende nuk ka publikuar rregullime për disa cenueshmëri të tjera të zbuluara nga Nightmare Eclipse, përfshirë YellowKey, e cila mundëson kalimin e enkriptimit BitLocker nëse sulmuesi ka akses fizik në pajisjen. Kompania ka ofruar vetëm udhëzime manuale për zbutjen e kësaj rreziqe, ndërkohë që cenueshmëritë RedSun dhe BlueHammer, të dyja me karakteristika të eskalimit të privilegjeve, mbeten pa zgjidhje të qarta.

Më 2024, hulumtuesi publikoi kodin e një eksploiti të ri për një cenueshmëri në Windows Defender, e cila përbëhet nga një kusht gare që synon komponentin mbrojtës. Paketa e përditësimeve të Microsoft përfshinte rreth 200 cenueshmëri, ndërsa dy prej tyre u konfirmuan si zero‑day. Pas publikimit të artikullit, Microsoft furnizoi informacione shtesë që u përfshinë në këtë përditësim.