Vulnerability researcher NightmareEclipse mengungkap sebuah zero-day Local Privilege Escalation (LPE) pada Windows yang diberi nama LegacyHive. Kerentanan ini memungkinkan pengguna dengan hak akses standar memuat (mount) dan memodifikasi Registry Classes Hive (UsrClass.dat) milik akun administrator melalui mekanisme yang melibatkan Windows User Profile Service (ProfSvc).
Hingga laporan ini dipublikasikan, Microsoft belum merilis patch resmi maupun memberikan penugasan CVE untuk kerentanan tersebut.
Apa yang Terjadi?
LegacyHive merupakan kerentanan lokal yang memanfaatkan cara kerja Windows User Profile Service (ProfSvc) saat memuat file UsrClass.dat, yaitu registry hive yang menyimpan konfigurasi khusus pengguna seperti:
- COM Registration
- File Association
- Shell Configuration
- Pengaturan antarmuka Windows lainnya
Melalui kelemahan ini, penyerang yang telah memiliki akses lokal sebagai user standar dapat memanfaatkan ProfSvc untuk me-mount registry hive milik akun administrator ke lokasi registry yang kemudian tetap dapat diakses dari konteks hak akses yang lebih rendah.
Akibatnya, konfigurasi penting milik administrator berpotensi dimodifikasi tanpa memerlukan hak administrator secara langsung.
Sebagai bagian dari proses disclosure, NightmareEclipse merilis Proof-of-Concept (PoC) berbasis C++ dengan lisensi MIT melalui repository GitHub MSNightmare/LegacyHive. Menurut peneliti, kode tersebut sengaja dibatasi agar tidak dapat langsung digunakan sebagai alat eksploitasi penuh.
Detail Teknis
Kerentanan ini berasal dari urutan operasi yang dilakukan oleh ProfSvc ketika memuat registry hive pengguna.
Pada tahap awal, service mencoba membuka file UsrClass.dat menggunakan konteks keamanan pengguna standar yang menjalankan proses. Upaya tersebut gagal dengan status Access Denied.
Namun, ProfSvc kemudian melakukan percobaan ulang menggunakan konteks NT AUTHORITY\SYSTEM, sehingga berhasil membuka dan me-mount registry hive tersebut.
Masalah muncul karena setelah proses mounting selesai, hive yang telah dimuat tetap dapat diakses oleh proses pemanggil awal yang hanya memiliki hak akses sebagai pengguna standar.
Peneliti keamanan Will Dormann mengonfirmasi perilaku tersebut secara independen. Dalam pengujiannya, ia mengamati munculnya registry hive baru di bawah HKEY_USERS selama LegacyHive berjalan, kemudian membuktikan bahwa akun non-administrator dapat mengakses dan memodifikasi Classes Hive milik administrator.
Sebagai demonstrasi, Dormann mengubah file association untuk ekstensi .txt sehingga ketika administrator membuka file teks, sistem justru menjalankan Calculator alih-alih aplikasi default.
Walaupun contoh tersebut bersifat demonstratif, dampak yang lebih serius muncul apabila penyerang memodifikasi COM Registration yang dipanggil ketika administrator melakukan logon atau menjalankan aplikasi tertentu. Dalam kondisi tersebut, perubahan registry berpotensi menyebabkan kode milik penyerang dijalankan dalam konteks keamanan administrator, sehingga membuka peluang terjadinya eskalasi hak akses dari foothold lokal menuju kontrol penuh atas sesi administrator.
Menurut NightmareEclipse, kerentanan ini memengaruhi berbagai versi Windows Desktop maupun Windows Server yang masih didukung, termasuk sistem yang telah menerima pembaruan keamanan hingga Juli 2026.
Pada saat laporan ini diterbitkan:
- Belum ada CVE yang ditetapkan.
- Belum ada Security Advisory resmi dari Microsoft.
- Belum tersedia patch maupun mitigasi resmi dari vendor.
Dampak terhadap Indonesia
Sebagian besar organisasi di Indonesia masih menjadikan Windows sebagai sistem operasi utama pada workstation maupun server, termasuk di sektor pemerintahan, BUMN, dan perusahaan swasta.
Kerentanan seperti LegacyHive memiliki relevansi tinggi pada lingkungan yang menggunakan:
- Shared Workstation
- Jump Server
- Bastion Host
- Terminal Server
- Server administrasi yang memungkinkan administrator melakukan interactive logon
Dalam skenario tersebut, penyerang yang telah memperoleh akses sebagai pengguna biasa berpotensi meningkatkan hak akses apabila administrator pernah atau sedang masuk ke sistem yang sama.
Selama belum tersedia patch resmi, organisasi sebaiknya meningkatkan pemantauan terhadap aktivitas Windows User Profile Service (ProfSvc), terutama proses mounting registry hive yang tidak lazim maupun perubahan registry pada akun-akun dengan hak akses tinggi.
Rekomendasi Mitigasi
- Batasi akses lokal dan cegah pengguna standar memperoleh kredensial akun lain pada sistem yang sama.
- Monitor aktivitas Windows User Profile Service (ProfSvc) menggunakan SIEM maupun EDR, khususnya proses mounting registry hive yang tidak biasa.
- Lakukan audit terhadap perubahan COM Registration, File Association, serta registry hive milik akun administratif.
- Terapkan Principle of Least Privilege dan minimalkan penggunaan akun administrator untuk aktivitas sehari-hari.
- Pantau pembaruan resmi dari Microsoft terkait advisory, CVE, maupun patch yang akan dirilis untuk LegacyHive.
Analisis Retasan
LegacyHive kembali menunjukkan bahwa permukaan serangan (attack surface) Windows masih menyimpan perilaku internal yang dapat menghasilkan konsekuensi keamanan serius meskipun berasal dari komponen yang telah ada selama bertahun-tahun.
Yang menarik dari penelitian ini bukan hanya keberadaan primitive eskalasi hak aksesnya, tetapi fakta bahwa mekanisme tersebut memanfaatkan alur kerja normal User Profile Service, bukan fitur baru yang diperkenalkan dalam pembaruan Windows terbaru. Hal ini mengindikasikan bahwa perilaku tersebut kemungkinan telah lama ada dan baru teridentifikasi melalui penelitian yang lebih mendalam.
Di sisi lain, situasi ketika Proof-of-Concept telah dipublikasikan sementara belum tersedia CVE, advisory resmi, maupun patch dari vendor selalu menjadi tantangan bagi komunitas keamanan. Organisasi harus menyeimbangkan kebutuhan untuk memahami risiko dengan potensi meningkatnya upaya eksploitasi setelah detail teknis tersedia secara publik.
Bagi organisasi di Indonesia, kasus ini menjadi pengingat bahwa patch management saja tidak cukup. Ketika vendor belum menyediakan perbaikan, pendekatan defense-in-depth menjadi lapisan pertahanan utama. Monitoring terhadap aktivitas registry yang tidak lazim, pembatasan hak akses administratif, audit perubahan pada COM Registration, serta deteksi perilaku abnormal pada ProfSvc akan jauh lebih efektif dibanding hanya mengandalkan pembaruan keamanan.
LegacyHive juga menegaskan pentingnya hardening endpoint dan continuous monitoring. Dalam banyak kasus, keberhasilan penyerang tidak selalu bergantung pada eksploitasi jarak jauh, melainkan pada kemampuan meningkatkan hak akses setelah memperoleh foothold awal melalui phishing, malware, atau kredensial yang telah dikompromikan.
