beardhammer/cve-2026-85884إثبات مفهوم PowerShell يوضح CVE-2026-85884، وهو تصعيد امتيازات Windows whesvc/WinDiag Lua ETW من رمز منخفض الامتيازات أو WPAD LPAC إلى SYSTEM.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85884
يحتوي هذا المستودع على مواد بحثية وإثبات مفهوم تتعلق بثغرة في حدود الامتيازات على Windows تشمل خدمة Windows Health and Optimized Experiences (whesvc) ومحرك Windows Diagnostics Lua.
يمكن للتعليمات البرمجية التي تعمل بقدرة التشخيص ذات الصلة أن تصدر حدث ETW موثوقًا لسير عمل يحتوي على مسار وحدة Lua يتحكم فيه المهاجم. تستهلك خدمة LocalSystem ذلك الحدث وتنفذ الوحدة عبر WinDiag دون التحقق الكافي من هوية المُصدِر أو تقييد الوحدة بموقع موثوق.
الانتقال الكامل الموضّح هو:
low-privileged or WPAD LPAC code
-> Microsoft.Windows.Diagnostics.Lua ETW event
-> LocalSystem whesvc workflow
-> attacker-controlled Lua module
-> SYSTEM process canary
تمت إعادة إنتاج المشكلة على إصدارات Windows 11 x64 المحددة بدقة والموثقة في التقارير المرفقة، بما في ذلك الإصداران 26200.8457 و29617.1000.
Invoke-WhesvcToSystem.ps1 هو أبسط إثبات مفهوم لمستخدم محلي. لا يتطلب ملف DLL أو مُصرِّفًا أو حمولة خارجية، ولا يُضمِّن أو يُنزِّل أي شيء. يشغّل رد نداء Lua ذو الامتيازات الأمر المدمج whoami.exe /user عبر cmd.exe ويعيد توجيه مخرجاته إلى ملف canary.
من جلسة PowerShell قياسية غير إدارية:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1
ينتج عن التشغيل الناجح مخرجات whoami.exe /user تحتوي على:
nt authority\system S-1-5-18
يُكتب ملف canary في:
%LOCALAPPDATA%\WhesvcL2S\system-canary.txt
لِسير العمل حد أدنى لفاصل التتبع، لذا يستغرق إثبات المفهوم عادةً 35 ثانية على الأقل.
لإزالة ملف canary وأي وحدات Lua مؤقتة مطابقة:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1 -Cleanup
تُقدَّم هذه المواد لأغراض البحث الدفاعي والتحقق من التصحيحات واختبار الأمان المصرَّح به. يتحمل المستخدمون مسؤولية الالتزام بالقوانين المعمول بها وتجنب تعطيل أنظمة الإنتاج.