Microsoft Defender 權限提升漏洞 RoguePlanet 技術分析
近期一名化名為 Chaotic Eclipse 的安全研究員公開了一個名為 RoguePlanet 的零日漏洞證明代碼（PoC）。這個漏洞存在於 Microsoft Defender 中，最嚴重的影響在於它能讓攻擊者從普通使用者權限直接提升至 SYSTEM 權限。在 Windows 作業系統中，SYSTEM 權限是最高等級的權限，幾乎等同於對整台電腦擁有絕對控制權，可以執行任意程式碼或修改核心系統設定。
理解漏洞的核心：競爭條件 Race Condition
RoguePlanet 漏洞的技術本質是一種競爭條件（Race Condition）。對於剛入行的工程師來說，可以將其理解為一種時間上的搶跑。當系統在執行某個操作時，會經過多個步驟，例如先檢查檔案權限，然後再對檔案進行寫入。如果攻擊者能在檢查完成後、寫入開始前這極短的時間間隙，迅速將目標檔案替換成惡意內容，系統就會在不知情的情況下對惡意檔案執行高權限操作。
由於這種攻擊依賴於極其精準的時機，因此它並非 100% 成功。研究員提到在某些機器上成功率很高，但在其他機器上則較不穩定，這正是競爭條件漏洞的典型特徵。
攻擊路徑與影響範圍
該漏洞目前已被證實可用於安裝了 2026 年 6 月更新的 Windows 10 與 Windows 11 桌面版本。這意味著即使系統維持在最新更新狀態，依然無法防禦此攻擊。
在實作路徑上，目前的 PoC 依賴於掛載 ISO 映像檔（ISO Image）的操作。由於 Windows Server 版本的標準使用者無法直接掛載 ISO 檔，因此目前的攻擊腳本無法直接在伺服器端運行。然而，研究員強調 Windows Server 系統本身同樣存在此漏洞，只是需要重新設計攻擊路徑來繞過掛載限制。
漏洞背景與安全社群的爭議
RoguePlanet 並非單一事件，而是研究員 Chaotic Eclipse 近期揭露的一系列 Defender 漏洞之一，先前還包括 BlueHammer、UnDefend 與 RedSun 等漏洞。
值得關注的是，這次漏洞的公開並非採取業界標準的協調漏洞揭露（Coordinated Vulnerability Disclosure, CVD）。通常研究員會先私下通知廠商，給予修補時間後再公開。但此次研究員選擇直接公開，主因是與微軟的安全回應中心（MSRC）在溝通上產生嚴重分歧，包括帳號被撤銷、獎金爭議以及對報告處理方式的不滿。
微軟對此表示，非協調性的公開揭露會讓客戶面臨不必要的風險，並強調會採取法律行動對付造成實質損害的惡意行為，但支持合法的安全研究。
對開發者與維運者的啟示
這次事件再次提醒我們，即使是安全產品本身（如 Defender）也可能成為攻擊向量。對於工程師而言，應意識到路徑重定向（Path Redirection）與權限檢查之間的時間差是常見的漏洞來源。在設計涉及高權限操作的邏輯時，必須確保檢查與執行之間不存在可被利用的間隙，或使用原子操作（Atomic Operation）來避免競爭條件的發生。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。