Исследователь Nightmare Eclipse, также известный как Chaotic Eclipse, выложил в открытый доступ PoC-эксплоит для ранее неизвестной уязвимости в Microsoft Defender. Проблема, получившая название ShieldBreak, позволяет локальному злоумышленнику повысить свои привилегии в системе до уровня SYSTEM.

Суть бага кроется в обработке некоторых типов файлов компонентом антивируса, что при определённых условиях приводит к переполнению буфера. Эксплоит использует эту ошибку для выполнения произвольного кода с максимальными правами в Windows, обходя при этом стандартные механизмы защиты операционной системы.

На данный момент Microsoft не выпустила официальный патч, поэтому уязвимость остаётся открытой для всех актуальных версий Windows с включённым Defender. Исследователь уже передал детали в Microsoft, но согласно политике ответственного раскрытия, публикация PoC произошла до выхода исправления.

Ситуация усугубляется тем, что Defender работает с повышенными привилегиями по умолчанию, что делает любой эксплоит против него особенно опасным. В сочетании с другим вектором атаки, например, фишингом или вредоносным документом, ShieldBreak позволяет получить полный контроль над системой.

Пока Microsoft готовит обновление безопасности, администраторам стоит временно ограничить доступ к локальной консоли на критичных машинах и внимательно следить за журналами Defender. Ожидается, что патч выйдет в ближайшем цикле обновлений, но до этого момента система остаётся в зоне риска.