VirtualLockSensorLPE

الوصف

استغلال PoC لرفع الامتيازات المحلية لثغرة CVE-2025-0886 يستهدف Elliptic Virtual Lock Sensor الإصدار 3.1.60531.2 الذي يعمل على Windows، وهو مثبَّت افتراضيًا على بعض طرازات أجهزة Lenovo المحمولة. يسمح بتنفيذ حمولة في سياق SYSTEM من سياق مستخدم عادي عن طريق تغيير صلاحيات مفتاح تسجيل.

النشرة الأمنية الرسمية من Lenovo: https://support.lenovo.com/us/en/product_security/LEN-182738

يرجى قراءة الملاحظات قبل استخدامه.

كيفية البناء

1. استنسخ المستودع باستخدام git clone --recursive.
2. قم ببناء حل VirtualLockSensorLPE.

كيفية الاستخدام

VirtualLockSensorLPE.exe COMMAND

مثال

VirtualLockSensorLPE.exe "cmd /c echo test > C:\Windows\System32\poc.txt"

التفاصيل التقنية

تستخدم الإصدارات المُعرَّضة للخطر من Elliptic Virtual Lock Sensor مفاتيح التسجيل التالية حيث يملك Everyone صلاحية Full Control:

• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\OnBattery
• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn

يمكن للمستخدمين العاديين بدء إعادة تثبيت البرنامج. إذا تم إنشاء مفتاح فرعي مع تفعيل "container inherit" تحت أحد مفاتيح التسجيل المذكورة أعلاه، وتم إنشاء ارتباط تسجيل بعد ذلك تحت هذا المفتاح الجديد، فسيتم منح Everyone صلاحية Full Control على هدف ذلك الارتباط أثناء إعادة التثبيت.

يستغل الـ PoC الثغرة باستخدام الخطوات التالية:

1. أنشئ مفتاحًا فرعيًا (يُسمى a) تحت HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn حيث يملك Everyone صلاحية Full Control مع تفعيل "container inherit" (علامة "CI").
2. أنشئ ارتباط تسجيل (يُسمى b) تحت المفتاح الفرعي المُنشأ حديثًا (a) يشير إلى HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate.
3. افرض إعادة تثبيت Elliptic Virtual Lock Sensor.
4. نظرًا لأن Everyone يملك الآن صلاحية Full Control على مفتاح edgeupdate، يمكن تعديل قيمة ImagePath للمفتاح لتشير إلى حمولة.
5. شغّل خدمة edgeupdate (خدمة تحديث Microsoft Edge) لتنفيذ الحمولة في سياق SYSTEM.

ملاحظات

• لا يحاول الاستغلال إعادة تعيين الصلاحيات على مفتاح التسجيل HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate، لذا سيتعين عليك القيام بذلك يدويًا (ويُرجى تذكُّر القيام بذلك إذا كنت تختبر هذا على نظام إنتاج).
• يستهدف تحديدًا الإصدار 3.1.60531.2. قد يتطلب كود الاستغلال بعض التعديلات لاستهداف إصدارات أخرى مُعرَّضة للخطر (من المحتمل أن يكون من الضروري تغيير كود المنتج الذي يُمرَّر إلى MsiReinstallProductW لبدء إعادة التثبيت).
• توجد طرق مختلفة لتحويل كتابة مفتاح تسجيل عشوائية إلى تنفيذ كود بصلاحيات مرتفعة. يحقق هذا الـ PoC ذلك عن طريق تغيير تكوين خدمة موجودة (edgeupdate) لتشير إلى حمولة عشوائية. لهذه التقنية بعض القيود:
  • إذا كانت خدمة edgeupdate تعمل بالفعل عند تنفيذ الاستغلال، فلن يتم تنفيذ الحمولة. انتظر دقيقة أو دقيقتين ثم أعد تنفيذ الاستغلال.
  • إذا لم تكن الحمولة ملفًا ثنائيًا لخدمة (مثل cmd)، فستوقف Windows تنفيذها بعد فترة قصيرة.