LegacyHive: la nuova vulnerabilità zero-day di Windows che permette agli utenti standard di manipolare i registri degli amministratori
Un nuovo rischio di sicurezza per Windows è emerso recentemente, messo a punto per consentire a utenti con privilegi limitati di accedere e modificare le impostazioni di sistema di account amministrativi. Questa vulnerabilità, chiamata LegacyHive, rappresenta una sfida significativa per la sicurezza dei dispositivi personali e aziendali, poiché può essere sfruttata anche su sistemi completamente aggiornati con le patch di luglio 2026. Se non si dispone di un amministratore di sistema disponibile immediatamente, la soluzione più rapida e sicura è limitare l’accesso locale ai dispositivi, evitando che utenti standard possano ottenere le credenziali di altri account e monitorando attentamente le attività del servizio ProfSvc nel Registro di sistema.
La scoperta di LegacyHive è stata annunciata dal ricercatore di sicurezza Nightmare-Eclipse, che ha pubblicato un codice di dimostrazione (PoC) su GitHub. Questo exploit sfrutta una falla nel Servizio Profili Utente di Windows (User Profile Service), un componente fondamentale che gestisce le impostazioni di ciascun utente durante l’accesso al sistema. Il problema permette a un utente con privilegi bassi di montare il registro di un altro utente, incluso quello di un amministratore, nella sua propria sessione, ottenendo così il controllo su impostazioni normalmente protette.
Perché LegacyHive è preoccupante per tutti gli utenti
LegacyHive non è solo un problema teorico. Il codice di dimostrazione è già disponibile pubblicamente e, sebbene l’autore abbia limitato le sue funzionalità per prevenire un uso immediato e dannoso, il meccanismo di base è funzionante. La vulnerabilità colpisce tutte le versioni supportate di Windows desktop e Windows Server, inclusi i sistemi che hanno già ricevuto le aggiornamenti di sicurezza di luglio 2026. Questo significa che le patch recenti non hanno risolto il problema, lasciando gli utenti esposti a potenziali attacchi di escalation dei privilegi.
Il rischio principale deriva dalla possibilità di manipolare il registro di un account amministrativo. Modificando il registro, un attaccante può alterare il comportamento delle applicazioni, le associazioni dei file e le registrazioni dei componenti COM (Component Object Model). In un esempio semplice ma dimostrativo, un ricercatore ha utilizzato la vulnerabilità per modificare l’associazione del file .txt dell’amministratore, facendo aprire i file di testo con il Calcolatore invece del programma previsto. Sebbene questo esempio sia innocuo, dimostra come un attaccante possa tamperare con impostazioni protette.
Un uso più pericoloso potrebbe coinvolgere la modifica di un oggetto COM invocato durante l’accesso dell’amministratore, potenzialmente permettendo l’execution di codice nel contesto di sicurezza di quell’utente. Questo permetterebbe agli attaccanti di passare da un iniziale accesso come utente locale regolare al controllo completo di una sessione amministrativa, con conseguenze gravi per la sicurezza dell’intero sistema.
Come funziona l’exploit e quali sono le condizioni necessarie
Per sfruttare LegacyHive, un attaccante deve avere accesso locale al dispositivo e le credenziali di un secondo utente standard, oltre al nome dell’account target, che può essere un amministratore. Non è necessario un accesso remoto o una connessione esterna; l’attacco deve essere eseguito direttamente sul sistema. Una volta eseguita con successo, l’exploit monta il registro UsrClass.dat dell’account target sotto la radice delle classi dell’utente corrente.
Il ricercatore Will Dormann ha confermato indipendentemente il comportamento centrale di LegacyHive. Durante i test, ha osservato la creazione di nuove chiavi di registro sotto HKEY_USERS mentre l’exploit era in esecuzione, determinando che un utente non amministrativo poteva accedere al registro Classes montato dell’amministratore. Questo accesso crea un principio di sicurezza significativo, poiché permette di alterare come le applicazioni e i file si comportano quando l’account amministrativo si avvia o interagisce con il desktop.
L’origine della vulnerabilità è legata alla gestione dei privilegi nel Servizio Profili Utente (ProfSvc). Quando il servizio tenta di aprire il file UsrClass.dat dell’amministratore impersonando l’utente standard, riceve un errore di “accesso negato”. Tuttavia, riprova l’operazione sotto il contesto NT AUTHORITY\SYSTEM, riesce ad aprire il file protetto e, in modo errato, espone il registro montato in una posizione accessibile anche all’utente non amministrativo che ha avviato la richiesta.
Cosa fare per proteggersi da LegacyHive
Al momento della scoperta, non esiste un CVE assegnato (Common Vulnerabilities and Exposures) per LegacyHive, né un adempimento di Microsoft o una correzione ufficiale dal vendor. Questo rende la situazione particolarmente critica per le organizzazioni e gli utenti finali, che devono adottare misure di mitigazione proattive fino all’arrivo di una patch ufficiale.
Le organizzazioni dovrebbero trattare LegacyHive come un rischio di escalation dei privilegi locali ad alto impatto, specialmente su endpoint condivisi, jump hosts e server dove gli amministratori utilizzano accessi interattivi. Le misure di difesa consigliate includono:
- Limitare l’accesso locale ai dispositivi sensibili.
- Prevenire che gli utenti standard possano ottenere le credenziali di altri account locali.
- Monitorare attività insolite del servizio ProfSvc e montaggi di registro inaspettati sotto
HKEY_USERS. - Investigare le modifiche alle registrazioni COM e alle associazioni di file a livello di utente per account privilegiati.
Queste azioni possono aiutare a ridurre il rischio di sfruttamento della vulnerabilità fino a quando Microsoft non fornirà una correzione ufficiale.
Technical Deep Dive
Per i tecnici e gli esperti di sicurezza, LegacyHive offre un caso di studio interessante sulle vulnerabilità di escalation dei privilegi locali (LPE) in Windows. La vulnerabilità è classificata come “arbitrary hive load elevation of privileges” e sfrutta una discrepanza tra le operazioni di file a livello di SYSTEM e il pathing controllato dall’utente.
Il meccanismo di exploit si basa su una condizione di tempo e di percorso (TOCTOU race condition) gestita tramite opportunistic locks (oplocks). L’attaccante modifica il valore di registro Local AppData per reindirizzare il servizio verso il namespace dell’object-manager NT. Utilizzando un oplock su un file deco, l’attaccante può scambiare un link simbolico esattamente nel momento in cui il servizio tenta di caricare il registro. Questo permette al servizio SYSTEM di caricare il registro di un altro utente, incluso quello di un amministratore, nella sessione dell’utente corrente.
Il codice PoC è scritto in C++ e rilasciato sotto licenza MIT. La versione pubblica è limitata al caricamento del solo UsrClass.dat, che contiene le associazioni dei file, le registrazioni COM e le impostazioni shell specifiche dell’utente. Tuttavia, il ricercatore afferma che la versione originale non richiede credenziali aggiuntive e può caricare qualsiasi hive di registro, sebbene richieda una conoscenza più approfondita per essere implementata correttamente.
Il repository GitHub è disponibile sotto MSNightmare/LegacyHive. Non ci sono conferme di exploit in uso reale (in-the-wild exploitation) al momento della pubblicazione, ma la disponibilità del codice PoC rende la vulnerabilità immediatamente sfruttabile per attaccanti con competenze tecniche.
La mancanza di un CVE e di una patch ufficiale da Microsoft sottolinea la necessità di un monitoraggio continuo delle attività del servizio ProfSvc e di una gestione rigorosa delle credenziali locali. Per gli ambienti enterprise, l’integrazione di soluzioni di monitoraggio avanzato come ANY.RUN può accelerare la detection delle threat e le indagini rapide, migliorando la resilienza del SOC contro vulnerabilità zero-day come LegacyHive.
