🚨 CVE-2026-50656 — Microsoft Defender "RoguePlanet"

Microsoft Malware Protection Engine में एलिवेशन ऑफ प्रिविलेज भेद्यता

⚠️ केवल शैक्षिक और रक्षात्मक सुरक्षा अनुसंधान

📖 अवलोकन

CVE-2026-50656 एक उच्च-गंभीरता वाली एलिवेशन ऑफ प्रिविलेज (EoP) भेद्यता है जो Microsoft Defender द्वारा उपयोग किए जाने वाले Microsoft Malware Protection Engine को प्रभावित करती है।

यह भेद्यता, जिसे सार्वजनिक रूप से RoguePlanet के नाम से जाना जाता है, अनुचित लिंक समाधान समस्या (CWE-59) से उत्पन्न होती है, जो एक निम्न-विशेषाधिकार वाले स्थानीय हमलावर को प्रभावित Windows सिस्टम पर विशेषाधिकार बढ़ाने की अनुमति दे सकती है।

🎯 प्रभाव

सफल शोषण एक हमलावर को अनुमति दे सकता है:

• मानक उपयोगकर्ता खाते से विशेषाधिकार बढ़ाना
• उन्नत सिस्टम अनुमतियाँ प्राप्त करना
• प्रतिबंधित फ़ाइलों तक पहुँचना
• संरक्षित सिस्टम संसाधनों को संशोधित करना
• संभावित रूप से पूर्ण सिस्टम समझौता प्राप्त करना

🏹 हमला वेक्टर

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

🔬 तकनीकी विवरण

भेद्यता वर्ग

भेद्यता को इस प्रकार वर्गीकृत किया गया है:

CWE-59
फ़ाइल एक्सेस से पहले अनुचित लिंक समाधान
(लिंक फ़ॉलो करना)

इस प्रकार की भेद्यता तब होती है जब विशेषाधिकार प्राप्त प्रक्रियाएँ फ़ाइलसिस्टम ऑब्जेक्ट्स के साथ इंटरैक्ट करती हैं जिन्हें इसका उपयोग करके पुनर्निर्देशित किया जा सकता है:

• प्रतीकात्मक लिंक
• हार्ड लिंक
• जंक्शन पॉइंट
• रिपार्स पॉइंट

अनुचित सत्यापन के परिणामस्वरूप विशेषाधिकार प्राप्त संचालन हमलावर-नियंत्रित स्थानों की ओर पुनर्निर्देशित हो सकते हैं।

⚙️ प्रभावित घटक

Microsoft Malware Protection Engine
mpengine.dll

द्वारा उपयोग किया जाता है:

• Microsoft Defender Antivirus
• Microsoft Defender for Endpoint
• Microsoft Security Essentials
• अन्य Microsoft सुरक्षा उत्पाद

🧠 हमला प्रवाह

निम्न विशेषाधिकार वाला उपयोगकर्ता
        │
        ▼
लिंक/जंक्शन/रिपार्स पॉइंट बनाएँ
        │
        ▼
Defender इंजन संचालन ट्रिगर करें
        │
        ▼
विशेषाधिकार प्राप्त फ़ाइल पहुँच
        │
        ▼
विशेषाधिकार वृद्धि
        │
        ▼
SYSTEM-स्तरीय प्रभाव

🔍 पता लगाने के अवसर

Windows इवेंट लॉग

इन पर नज़र रखें:

अप्रत्याशित विशेषाधिकार वृद्धि घटनाएँ

Defender इंजन असामान्यताएँ

संदिग्ध रिपार्स पॉइंट निर्माण

प्रतीकात्मक लिंक दुरुपयोग

Microsoft Defender XDR

संभावित खोज संकेतक:

DeviceFileEvents
| where ActionType contains "FileCreated"
| where FileName endswith ".lnk"

रिपार्स पॉइंट निगरानी

PowerShell:

Get-ChildItem -Path C:\ -Recurse -Force |
Where-Object {
    $_.Attributes -match "ReparsePoint"
}

🛡️ शमन

आधिकारिक सुरक्षा अद्यतन तैनात होने तक:

स्थानीय पहुँच प्रतिबंधित करें

स्थानीय लॉगन क्षमता वाले उपयोगकर्ताओं की संख्या कम करें।

एंडपॉइंट्स को कठोर बनाएँ

• टैम्पर प्रोटेक्शन सक्षम करें
• EDR सक्षम करें
• आक्रमण सतह न्यूनीकरण नियम सक्षम करें

फ़ाइल सिस्टम गतिविधि की निगरानी करें

इन पर नज़र रखें:

• जंक्शन निर्माण
• सिमलिंक निर्माण
• रिपार्स पॉइंट संशोधन

विक्रेता पैच लागू करें

Microsoft सुरक्षा अद्यतन जारी होते ही उन्हें स्थापित करें।

🧪 सत्यापन जाँच सूची

🔥 खतरा मॉडलिंग

ATT&CK मैपिंग

📊 जोखिम मूल्यांकन

🚨 संदिग्ध गतिविधि के संकेतक

असामान्य Defender गतिविधि

mpengine.dll
MsMpEng.exe

अप्रत्याशित पहुँच:

C:\Windows\System32\

जंक्शन/रिपार्स पॉइंट दुरुपयोग

dir /AL /S

प्रतीकात्मक लिंक

dir /A:L

📚 संदर्भ

• Microsoft Security Response Center (MSRC)
• CVE Program
• MITRE ATT&CK
• Microsoft Defender दस्तावेज़ीकरण

⚠️ अस्वीकरण

यह भंडार इसके लिए प्रदान किया गया है:

• सुरक्षा जागरूकता
• भेद्यता प्रबंधन
• ब्लू-टीम अनुसंधान
• रक्षात्मक सुरक्षा संचालन

यह अनधिकृत पहुँच, शोषण या आक्रामक गतिविधियों के लिए अभिप्रेत नहीं है।