Beveiliging in Windows leunt op isolatie: sommige onderdelen zouden afgeschermd moeten blijven, zelfs als een aanvaller al voet aan de grond heeft. Toch beschrijven onderzoekers hoe zij een VBS enclave bypass wisten te realiseren en in een “afgesloten” geheugenwereld code konden laten draaien die bedoeld is om geheimen te beschermen.
Het gaat om de VBS-enclave (Virtualization-Based Security), een geïsoleerd stukje geheugen dat wordt gebruikt om gevoelige informatie af te schermen. In een proof of concept lukte het onderzoekers om die isolatie te doorbreken via een fout in een component achter Enhanced Phishing Protection van Microsoft Defender SmartScreen. Microsoft heeft het probleem inmiddels gepatcht.
Wat is een VBS enclave en waarom is dit belangrijk?
Een VBS enclave is een afgeschermde geheugenomgeving die door Windows gebruikt wordt om secrets te bewaken. In de kern draait het om een ontwerp waarbij de normale wereld van programma’s (VTL0) niet kan lezen of aanpassen wat in de beveiligde wereld draait.
Microsoft beschrijft daarbij dat de enclave in een meer vertrouwde context wordt behandeld, aangeduid als VTL1 of “Isolated User Mode”. Daardoor zouden aanvallers, zelfs wanneer ze al in de normale kernel of met SYSTEM-rechten zitten, niet zomaar controle moeten kunnen krijgen over wat zich binnen die enclave afspeelt.
De kern van de ontdekking: code uitvoeren binnen de enclave
Het onderzoek van Doyensec laat zien dat die bescherming niet onbreekbaar is. Zij richtten zich op een enclavecomponent die betrokken is bij Enhanced Phishing Protection in Microsoft Defender SmartScreen. Die functie controleert wat je typt of plakt en waarschuwt wanneer je bijvoorbeeld je Windows-aanmeldwachtwoord in een onveilige context zet, zoals een notitie-app of een phishingpagina.
Om te voorkomen dat de wachtwoordtekst zelf later zichtbaar hoeft te zijn, onderschept Windows het wachtwoord bij de login en slaat het vervolgens in gehashte vorm op binnen de enclave. Later kunnen inputs dan worden vergeleken met die interne, beschermde waarde.
Op Windows 11 wordt de enclave volgens het bericht geladen door lsass.exe, het proces dat aanmeldgegevens verwerkt en dat onder SYSTEM draait. Het is precies die combinatie—signing, isolatie en het laden vanuit een vertrouwde omgeving—die het onderzoek interessant maakt.
Niet van afstand: lokaal misbruik vereist
Een belangrijk detail is dat de aanval niet “op afstand” werkt. De onderzoekers geven aan dat er al een proces op het systeem moet draaien dat de enclave kan aanroepen. Voor de betrokken SFAPE-component betekent dat: de enclave moet worden geladen en aangeroepen via LSASS. Microsoft ondersteunt dit met de evaluatie dat het om een lokale vector gaat, waarbij een aanvaller lage-level toegang nodig heeft en geen hulp van de gebruiker.
Met andere woorden: dit is geen typische “remote hack” vanaf het internet, maar eerder een manier om van binnenuit door te dringen naar een omgeving naast de normale uitvoeringswereld.
CVE-2026-83498: vier-byte write en timingfout
De fout is gecatalogiseerd als CVE-2026-83498. Microsoft classificeert het als een elevation-of-privilege-issue met een Critical beoordeling en een CVSS-score van 7,8. Volgens Microsoft is het probleem niet misbruikt in het wild en was het niet publiek bekend vóór het patchen.
Het onderzoek beschrijft hoe Doyensec de aanval heeft opgebouwd vanuit een kleine fout en deze stap voor stap heeft uitgebreid. De onderzoekers noemen twee elementen die samen het pad vrijmaken:
- Het opnieuw aanroepen van een enclave-initialisatie zorgde ervoor dat de enclave een vast vier-byte error-waarde schreef naar een adres dat door het aanroepende programma beïnvloed kon worden.
- Een timing bug in een andere functie leidde vervolgens tot een gecontroleerde wipe en een verschuiving in hoe de enclave een intern object opzoekt.
Waar het aanvalspad uiteindelijk op neerkomt, is dat de onderzoekers de veiligheidschecks konden ondermijnen. De enclave verloor daarmee feitelijk haar isolatie: het leidde tot code die door een aanvaller gekozen kon worden, actief binnen de enclave.
Impact: data-lekkage of code-executie binnen de enclave
In de proof of concept toont Doyensec niet aan dat gebruikerswachtwoorden daadwerkelijk zijn uitgelezen of gestolen. Dat neemt niet weg dat de beveiligingswaarde van de enclave wel is doorbroken.
Microsoft beschrijft de impact als data leakage uit of code execution binnen de enclave. Dat onderscheid is relevant: zelfs wanneer het onderzoek geen wachtwoordexfiltratie aantoont, is het scenario “verslechtering van de isolatie” op zichzelf al ernstig, omdat de enclave juist ontworpen is als laatste verdedigingslinie voor geheimen en interne validatie.
Wat heeft Microsoft gepatcht, en hoe werkt de mitigatie?
Microsoft heeft de kwetsbaarheid verholpen in de cumulatieve update van 8 september 2026, met referentie KB5124008. Die patch is specifiek van toepassing op Windows 11 24H2 en 25H2.
Volgens Doyensec lieten bestandsvergelijkingen zien dat de gepatchte enclave bij de eerste write nu eerst een adrescheck uitvoert. Daarnaast werd het deel van de functie aangescherpt waarop de timingfout steunde.
Verder kwam er een aanvullende beleidsmaatregel: de oude, kwetsbare enclave kan na installatie van de update niet meer laden. Dat betekent dat er volgens de informatie geen aparte workaround bestaat—de actie is het plaatsen van de update.
Een kanttekening: niet alle vergelijkbare enclaves worden geblokkeerd
De onderzoekers signaleren één gat dat mogelijk langer relevant blijft. Windows heeft blijkbaar geen generieke blocklist voor kwetsbare enclaves zoals het die wel heeft voor sommige kwetsbare drivers. De September policy blokkeert dus niet “alle” kwetsbare varianten, maar in dit geval vooral de oude SFAPE-enclave.
Daarbij noemen zij dat een oudere Microsoft Edge enclave met een vergelijkbare lees/schrijf-gerelateerde zwakte—CVE-2023-36880— nog wel toegestaan is om te laden. Of dat bewust beleid is of een omissie, laat zich niet met zekerheid vaststellen.
Dit punt raakt ook aan een breder veiligheidsprincipe: het laden van gesigneerde maar kwetsbare componenten kan een bekende techniek zijn om verdedigingstools te omzeilen. Het onderzoek van Doyensec verwijst in dat verband naar eerdere research (door onder meer Akamai en Outflank) over “bring your own vulnerable enclave”. Als één enclave wordt geblokkeerd terwijl een andere nog kan laden, blijft zo’n aanpak theoretisch bruikbaar.
Hoe houd je dit soort risico’s beheersbaar?
Hoewel deze case draait om een specifieke enclavecomponent, is het onderliggende thema breder: isolatie is sterk, maar alleen zolang de implementatie en de interactiepunten correct blijven. Voor organisaties betekent dat praktisch vooral aandacht voor patching en procesdiscipline.
Een goede start is het tijdig toepassen van de juiste updates op endpointniveau, en het inventariseren van welke componenten (zoals SmartScreen-gerelateerde libraries) op jullie systemen aanwezig zijn. Daarnaast helpt het om de bredere context van credential-verwerking mee te nemen in je threat model.
Als je meer wilt lezen over hoe onderzoekers credential-bypass of beperkingen testen binnen Windows-achtige beveiligingslagen, kan dit vergelijkbare thema ook passen bij het artikel over OTP-bypass via code-drempels. Daarmee krijg je inzicht in hoe kleine logische fouten in controlesystemen kunnen leiden tot grotere impact.
Samenvatting
De melding rond CVE-2026-83498 laat zien hoe een VBS enclave bypass kan ontstaan via een combinatie van een vier-byte write en een timingfout. In een labsetting konden onderzoekers code uitvoeren binnen een beveiligde enclave die bedoeld is om geheimen af te schermen, gekoppeld aan Enhanced Phishing Protection in Microsoft Defender SmartScreen.
Microsoft heeft het probleem verholpen in KB5124008 voor Windows 11 24H2 en 25H2 en daarnaast wordt de oude enclave geblokkeerd. Tegelijk blijft de vraag relevant of vergelijkbare enclaves generiek worden beheerd, omdat niet elke kwetsbare enclave automatisch wordt uitgesloten.
Bron: https://thehackernews.com/2026/10/four-byte-write-and-timing-bug-let.html
1 reactie