TrustedHive - (CVE-2026-81963 مشتبه به)

تصعيد الصلاحيات المحلية عبر طريقة CBS COM غير المحمية - كتابة ملفات عشوائية من مستوى تكامل متوسط إلى SYSTEM على Windows 11

جدول المحتويات

• الجدول الزمني للإفصاح
• الثغرة الأمنية
  • الإصدارات المتأثرة
  • كيف يعمل نهجي
• استجابة MSRC
• CVE المشتبه به
• الاستخدام وهيكل المستودع
  • PoC_Fun/
  • PoC_Boring/
• انظر أيضًا
• انطباعات واجهة المستخدم

الجدول الزمني للإفصاح

التاريخ	الحدث
22 يوليو 2026	تم الإبلاغ عن الثغرة الأمنية إلى MSRC
8 سبتمبر 2026	قامت Microsoft بتصحيح حزمة خدمة Windows Update (ثلاثاء التصحيح لشهر سبتمبر)
29 أكتوبر 2026	استجابت MSRC (انظر أدناه)

الثغرة الأمنية

يعمل كائن COM لجلسة الخدمة القائمة على المكونات (CBS) داخل TrustedInstaller.exe بصلاحيات SYSTEM ويمكن تنشيطه بواسطة أي مستخدم تفاعلي. تستدعي كل طريقة تقريبًا على واجهة الجلسة EnsureCallerIsAdministrator قبل المتابعة، باستثناء CreateExternalTransformerExecutor، الذي أعاد منفّذ محوّل مخزن CSI منخفض المستوى دون أي فحص للتفويض.

يعمل Initialize() الخاص بذلك المنفّذ بصلاحيات SYSTEM دون أي انتحال هوية. يمكن للمستدعي ذي التكامل المتوسط أن يدفع TrustedInstaller إلى إنشاء ملف سجل خلية تسجيل (registry hive) في مسار يتحكم فيه المهاجم من خلال استغلال وصلات NTFS والروابط الرمزية لمدير الكائنات، ولا يتطلب أي منها أي صلاحيات خاصة لإنشائها.

الإصدارات المتأثرة

• Windows 11 (23H2، 24H2، 25H2، 26H1) و Windows Server 2025 (على الأرجح جميع الإصدارات السابقة للتحديث التراكمي بتاريخ 8 سبتمبر 2026)
• اختبرت هذا في الأصل على:
  • Windows 11 Pro - 24H2 (حزمة الخدمة 26100.8872)
  • Windows Server 2025 - 24H2 (حزمة الخدمة 26100.32230)
  • Windows 11 Pro - 26H1 (OS Build 28120.2546)
• تم تصحيحها في تحديث حزمة الخدمة لثلاثاء التصحيح لشهر سبتمبر 2026

كيف يعمل نهجي

1. بناء خلية تسجيل مرجعية بقائمة تحكم وصول تقديرية (DACL) متساهلة (Everyone: Full Control)
2. إعداد وصلات وروابط رمزية تعيد توجيه مسار ملف السجل الخاص بالخلية إلى الموقع المستهدف
3. تنشيط جلسة CBS واستدعاء CreateExternalTransformerExecutor غير المحمية
4. يتبع TrustedInstaller المسار المعاد توجيهه وينشئ ملف السجل، الذي يملكه SYSTEM، في الموقع الذي اختاره المهاجم
5. الكتابة فوق محتويات الملف حيث يرث الملف DACL المتساهلة الخاصة بالخلية، مما يتيح للعملية غير ذات الامتيازات كتابة محتوى عشوائي

النتيجة: كتابة ملفات عشوائية إلى أي دليل موجود بصلاحيات SYSTEM، من حساب مستخدم عادي. لا حقوق مسؤول، ولا صلاحيات خاصة، ولا حاجة لتفاعل المستخدم.

استجابة MSRC

قيّمت MSRC تقريري على أنه خطورة منخفضة / دفاع في العمق، مشيرة إلى أن "نماذج الإثبات المفهومي التي تم تقييمها لم تُظهر كتابة ملفات إلى مواقع غير مصرح بها." أُغلق الملف باعتباره دون الحد الأدنى للصيانة الفورية، ولم تُصدر CVE إضافية، ولم تُمنح مكافأة، ولن تتابع MSRC المشكلة أكثر من ذلك، وهو أمر منطقي إذا كانت هذه تكرارًا.

يكتب PoC محتوى يتحكم فيه المهاجم إلى C:\Windows\System32 من عملية ذات تكامل متوسط وغير مسؤولة، وقد فعل ذلك بشكل موثوق على كل إصدار غير مصحح تم اختباره عليه. التفسير الأكثر ترجيحًا لتقييم MSRC هو التوقيت، حيث قُدّم التقرير في يوليو، وصدر إصلاح حزمة الخدمة في سبتمبر، ووصلت استجابة MSRC في أكتوبر، وعندها كان PoC سيفشل بالفعل بـ E_ACCESSDENIED على أي نظام محدّث.

لقد أُضفت إلى صفحة الإشارات الخاصة في MSRC فهذا شيء على الأقل :)

CVE المشتبه به

أشك في أن الثغرة الأمنية المُبلَّغ عنها هنا مشمولة بـ CVE-2026-81963 ("Windows Update Stack Elevation of Privilege Vulnerability")، والتي تم إصلاحها في التحديث المذكور وتصف نفس فئة الثغرة (CWE-59 / CWE-284، تتبّع الروابط + التحكم غير السليم في الوصول في حزمة خدمة CBS). وقد نُسبت تلك الثغرة إلى Romain Deperne (Airbus Helicopters) وMicrosoft Threat Intelligence Center (MSTIC)، وأُكِّد استغلالها فعليًا في البرية قبل التصحيح. لكن: ليس لديّ تأكيد رسمي بأن تقريري يغطي المسألة نفسها.

الاستخدام وهيكل المستودع

يجب تشغيل كلا الـ PoCs بصفة مستخدم عادي غير مسؤول (مستوى تكامل متوسط) وكلاهما يحتوي على نفس الاستغلال الأساسي. إذا شغّلتهما بصلاحيات مرتفعة، سينجح الاستغلال بسهولة لأنك تملك صلاحيات المسؤول بالفعل، وهذا يُفقد الغرض كله.

PoC_Fun/

إثبات المفهوم الكامل مع واجهة مستخدم. أداة رسومية مبرمجة بـ vibecoding تُغلِّف تقنية الاستغلال في واجهة تفاعلية. مناسبة للعروض التوضيحية ولكل من لا يحب الـ PoCs المقتصرة على الطرفية المملة (MAKE POCS FUN AGAIN!)

خط البكسل القوطي أحادي المسافة المستخدم في العناوين واللافتة أُنشئ بتكليف مني بواسطة nico_n_art.

البناء:

$ cd PoC_Fun

$ dotnet clean -c Release && dotnet publish -c Release

$ .\bin\Release\net8.0-windows\win-x64\publish\TrustedHive.exe

الاستخدام: ما عليك سوى النقر المزدوج على الإصدار وسيرشدك واجهة المستخدم أو استخدم "?" لفتح قائمة المساعدة.

PoC_Boring/

ملف C المستقل للاستغلال. لا توجد واجهة مستخدم ولا تبعيات تتجاوز ole32.lib وadvapi32.lib. قم بالبناء باستخدام MSVC (cl /O2 ...)، ووجّهه إلى ملف إدخال ومسار إخراج، وسيقوم بالمهمة.

البناء:

$ cd PoC_Boring

$ cl /nologo /W3 /O2 TrustedHive_PoC.c ole32.lib advapi32.lib /link 

$ .\TrustedHive_PoC.exe

الاستخدام:

$ .\TrustedHive_BoringPoC.exe <input_file> <output_path> [/keep]

<input_file>  : file whose bytes are written to the target

<output_path> : destination (its parent directory must exist),
				e.g. C:\Windows\System32\poc.dll

/keep         : keep the Hidden+System attributes the Configuration Manager
                stamps on the created hive-log file (default: clear them)

انظر أيضًا

• CVE-2026-81963 (MSRC) - ثغرة CVE المشتبه بها
• مدونة Fortra/Core Security - مسار استغلال مختلف (تحميل جانبي لـ dpx.dll عبر EvaluateApplicability) ضمن نفس ثغرة CVE
• nico_n_art لفنها الرائع وكونها منشئة خط البكسل القوطي في واجهة المستخدم

انطباعات واجهة المستخدم