Патч для Microsoft Defender дозволяє хакерам забити диск сміттям
Виправлення вразливості в Microsoft Defender спричинило побічний ефект: зловмисники можуть змусити антивірус нескінченно кешувати дані та заповнити накопичувач.
Оновлення для антивіруса Microsoft Defender містить ваду, що дозволяє віддаленим серверам повністю вичерпати вільне місце на диску комп'ютера, повідомив дослідник безпеки Nightmare-Eclipse.
Компанія Microsoft випустила версію ядра захисту mpengine.dll 1.1.26060.3008, щоб закрити zero-day уразливість RoguePlanet (CVE-2026-50656), яка дозволяла підвищувати привілеї в системі. Оновлення поширювалося автоматично разом із базами сигнатур на заміну вразливій версії 1.1.26050.11.
Аналізуючи виправлений компонент, дослідник виявив витік 8 байтів на рівні драйверів ядра, а також суттєвішу помилку в логіці кешування. Зазвичай Microsoft Defender обмежує розмір сканованих та ізольованих файлів, щоб уникнути переповнення сховища. Проте цей ліміт не діє на альтернативні потоки даних (ADS) із міткою Zone.Identifier.
Для експлуатації використовується шкідливий сервер SMB зі спеціально сформованим файлом і надмірно великим потоком ADS. Якщо сервер навмисно затримує операції читання та підтримує сесію відкритою, Defender блокує закешовані файли замість їх видалення, швидко заповнюючи весь вільний обсяг накопичувача.
Проблему вдалося відтворити на Windows 11 (версія 25H2) та Windows Server 2025; наразі тестується можливість використання протоколу WebDAV для атаки через інтернет. Microsoft поки не коментувала переповнення диска у бюлетені щодо CVE-2026-50656.
Коментарі
Допоможи покращити наступну версію: Додавай контекст або пропонуй виправлення. Після AI-перевірки коментарі можуть отримати бали для переписування. Перевірка й оновлення потребують часу; повна шкала не гарантує нової версії.