---

📌 Aperçu

Champ	Valeur
CVE	CVE-2026-33825
Surnom	BlueHammer
Sévérité	Haute
CVSS	~7.8
Type	Élévation de privilèges locale
Affecté	Windows 10 / 11 / Server
Composant	Microsoft Defender
Exploitation	PoC public rapporté
Privilège requis	Faible
Impact	Élévation de privilèges SYSTEM

---

🧠 Qu'est-ce que BlueHammer ?

BlueHammer est une vulnérabilité de condition de course TOCTOU (Time-of-Check to Time-of-Use) au sein d'opérations privilégiées de Microsoft Defender.

La vulnérabilité exploiterait prétendument :

• Liens symboliques NTFS
• Points de réanalyse
• Verrous opportunistes (Oplocks)
• Flux de travail de correction/mise à jour de Defender
• Gestion de fichiers privilégiée

L'exploit manipule Defender pour qu'il effectue des opérations privilégiées sur le système de fichiers sur des cibles contrôlées par l'attaquant.

---

⚠️ Impact

Une exploitation réussie peut permettre aux attaquants de :

• Obtenir NT AUTHORITY\SYSTEM
• Extraire des identifiants
• Accéder aux ruches SAM/SYSTEM
• Désactiver les produits de sécurité
• Établir une persistance
• Déployer un rançongiciel
• Se déplacer latéralement dans des environnements d'entreprise

---

🏗️ Flux d'exploitation de haut niveau

Low Privileged User
        │
        ▼
Trigger Defender Operation
        │
        ▼
Exploit TOCTOU Race Condition
        │
        ▼
Redirect Privileged File Operation
        │
        ▼
Overwrite / Move Protected Files
        │
        ▼
Execute Code as SYSTEM

---

🔍 Concepts techniques

⏱️ Condition de course TOCTOU

BlueHammer abuse de l'écart entre :

Time of Check
        ↓
Time of Use

Defender valide un fichier/chemin, mais avant que l'opération privilégiée ne se termine, l'attaquant échange la cible.

---

🔗 Points de réanalyse NTFS et liens symboliques

Les attaquants utiliseraient prétendument :

• jonctions
• liens symboliques
• liens du gestionnaire d'objets

pour rediriger les opérations privilégiées de Defender.

Exemple conceptuel :

Defender croit :
C:\Temp\safe.txt

En réalité redirigé vers :
C:\Windows\System32\protected_file

---

🧊 Verrous opportunistes (Oplocks)

Les Oplocks aident les attaquants à suspendre temporairement les opérations sur les fichiers :

Defender accède au fichier
        ↓
L'attaquant suspend l'opération
        ↓
La cible est échangée
        ↓
Defender reprend avec des privilèges SYSTEM

Cela augmente la fiabilité de la condition de course.

---

🖥️ Composants affectés

Parmi les composants impactés signalés :

• MsMpEng.exe
• MpSigStub.exe
• Pipeline de correction de Defender
• Flux de travail de mise à jour de Defender

---

🧨 Pourquoi c'est important

Un logiciel de sécurité :

• s'exécute avec des privilèges élevés,
• interagit avec des fichiers non fiables,
• effectue des corrections automatiques.

Cela rend les vulnérabilités de course du système de fichiers extrêmement dangereuses.

BlueHammer a démontré que :

le logiciel de défense lui-même peut devenir le vecteur d'élévation de privilèges.

---

🛡️ Atténuation

Actions recommandées

✅ Mettre à jour Microsoft Defender

Installez les dernières mises à jour de la plateforme Defender.

✅ Appliquer les mises à jour de sécurité Windows

Assurez-vous que toutes les mises à jour du Patch Tuesday sont installées.

✅ Surveiller les activités suspectes

Recherchez :

• des shells SYSTEM inattendus,
• Defender interagissant avec des chemins inhabituels,
• une activité VSS anormale,
• création suspecte de liens symboliques.

✅ Restreindre l'exécution locale

Limitez l'exécution pour les utilisateurs et applications non fiables.

---

🧪 Indicateurs d'exploitation

Les indicateurs potentiels peuvent inclure :

Opérations inattendues de Defender sur les fichiers
cmd.exe / powershell.exe de niveau SYSTEM
Points de réanalyse NTFS suspects
Événements de correction anormaux de Defender
Modèles d'abus d'Oplock

---

🔬 Vulnérabilités associées

Vulnérabilité	Description
PrintNightmare	Impression Windows Spooler RCE/EPL
HiveNightmare	Vulnérabilité d'exposition SAM
RedSun	Technique d'exploitation associée à Defender
unDefend	Famille de techniques d'abus de Defender

---

📚 Concepts clés

Concept	Description
LPE	Élévation de privilèges locale
TOCTOU	Défaut de vérification avant utilisation
Oplocks	Synchronisation des opérations du système de fichiers
Points de réanalyse	Fonctionnalité de redirection du système de fichiers
SYSTEM	Privilège Windows local le plus élevé

---

⚖️ Avertissement

Ce dépôt/cette documentation est fourni(e) à des fins :

• éducatives,
• de recherche en sécurité défensive,
• de sensibilisation aux vulnérabilités.

N'utilisez pas ces informations pour des activités non autorisées.