Beveiligingsonderzoekers wisten code uit te voeren in een beschermde Windows SmartScreen enclave via een vierbyte schrijf- en timingfout, inmiddels gepatcht.
Beveiligingsonderzoekers van Doyensec zijn erin geslaagd om eigen code uit te voeren binnen een beveiligde enclave van Windows, die juist bedoeld is om zelfs bij overname van het systeem ontoegankelijk te blijven. Deze enclave, een VBS enclave, is een geïsoleerd geheugenblok dat het besturingssysteem gebruikt om gevoelige gegevens te beschermen. De kwetsbaarheid zat in de enclave die wachtwoorden beheert voor de anti-phishingfunctie van Windows SmartScreen.
De onderzoekers toonden hun aanval als proof of concept in een laboratoriumomgeving; er zijn geen aanwijzingen dat deze kwetsbaarheid in het wild werd misbruikt. Microsoft heeft het lek verholpen in de beveiligingsupdate van 8 september 2026 (KB5124008) voor Windows 11 versies 24H2 en 25H2. De kwetsbaarheid staat geregistreerd als CVE-2026-83498 en wordt door Microsoft als een kritieke privilege-escalatie met een CVSS-score van 7.8 beoordeeld. Volgens Microsoft was de kwetsbaarheid niet publiek bekend en is deze ook intern gevonden.
Een VBS enclave is een ondertekende bibliotheek die door een normaal Windows-programma wordt geladen, maar die het programma zelf niet kan lezen of wijzigen tijdens uitvoering. De enclave draait in een meer vertrouwde omgeving, VTL1 of Isolated User Mode, die niet toegankelijk is voor gewone code in de standaard gebruikersmodus (VTL0), volgens Microsoft. Dit ontwerp moet de enclave beschermen, zelfs als een aanvaller al systeemrechten heeft.
De aangevallen enclave is SFAPE.dll, onderdeel van Enhanced Phishing Protection in Microsoft Defender SmartScreen. Deze functie controleert of gebruikers hun Windows-wachtwoord invoeren op onveilige plekken, zoals een phishingpagina of een tekstbestand, zonder het wachtwoord bloot te stellen. Het wachtwoord wordt bij het inloggen gehasht en veilig opgeslagen in de enclave, zodat latere invoer vergeleken kan worden.
De aanval vereist dat er al een programma op het systeem draait dat de enclave laadt en aanroept, in dit geval lsass.exe, het proces dat inloggegevens beheert en met SYSTEM-rechten draait. De aanval is dus lokaal en vereist lage-level toegang zonder gebruikersinteractie, wat Microsoft ook bevestigt.
Doyensec bouwde de aanval op vanuit een kleine fout: het tweemaal aanroepen van de Initialize-functie van de enclave zorgt ervoor dat een vaste vierbyte waarde wordt geschreven naar een adres dat het aanroepende programma beheert, waarbij de adrescontrole bij de tweede aanroep ontbreekt. Alleen deze schrijfactie is zwak, maar gericht kan dit de geheugenafbakening van de enclave corrupt maken, waardoor veiligheidscontroles falen. Vervolgens activeert een timingfout in een andere functie een gecontroleerde geheugenwissing, waarmee de onderzoekers de tabel konden vervangen die bepaalt welke code de enclave mag uitvoeren. Zo werd het mogelijk om eigen code binnen de enclave te draaien.
De isolatie van de enclave werd hiermee doorbroken, maar er is geen bewijs dat wachtwoorden zijn uitgelezen of gestolen. Microsoft beschrijft de impact als datalekken of code-uitvoering binnen de enclave. De patch controleert nu het adres bij de eerste schrijfactie en versterkt de functie waar de timingfout in zat. Ook is een nieuwe beleidsregel toegevoegd die voorkomt dat de kwetsbare enclave nog wordt geladen.
