CVE-2025-21420_POC

مقارنة cleanmgr.exe

يتضمّن الإصدار الجديد من cleanmgr.exe استدعاءً للدالة SetProcessMitigationPolicy.

مع ضبط MitigationPolicy على 16، وهو ما يقابل ProcessRedirectionTrustPolicy.

وبالاقتران مع وصف Microsoft لـ CWE-59: حل الروابط بشكل غير سليم قبل الوصول إلى الملفات ('متابعة الروابط')، يمكننا استنتاج أن cleanmgr.exe لديه Redirection Guard مفعّلًا.

بعد قراءة منشورين في مدوّنتين بقلم Simon Zuckerbraun و enigma0x3:

1. من الحذف/النقل/إعادة التسمية التعسفي للمجلدات إلى رفع الصلاحيات إلى SYSTEM
2. تجاوز UAC

قد تمتلك مهمة SilentCleanup صلاحيات كافية لحذف مجلد C:/Config.msi، كما ذكر Simon Zuckerbraun. كل ما نحتاجه هو العثور على ثغرة الحذف/النقل/إعادة التسمية التعسفي للمجلدات داخل مهمة SilentCleanup (والتي تشغّل cleanmgr.exe بصلاحيات التشغيل بأعلى صلاحية) وتوجيهها إلى مجلد C:/Config.msi.

ملاحظات عبر Procmon

شغّل مهمة SilentCleanup ولاحظ سلوك cleanmgr.exe.

تتحقق العملية مما إذا كانت المجلدات المدرجة موجودة (ومن المثير للاهتمام أنها لا تتحقق مما إذا كان C:\ESD نقطة وصل (junction)، لكنها تتحقق من Windows وDownload — وهو ما لن نخوض فيه هنا).

أنشئ المجلدات C:\$Windows.~WS وC:\ESD\Windows وC:\ESD\Download، ضع بعض الملفات العشوائية داخلها، وأعد تشغيل SilentCleanup ولاحظ مرة أخرى.

يمكننا أن نرى أن SilentCleanup يحذف محتويات مجلدَي Windows وDownload. يمكن استغلال ذلك باستخدام التقنية الموضحة في من حذف محتويات المجلد إلى رفع الصلاحيات إلى SYSTEM.

الاستغلال

1. يُنشئ سكربت Python ثلاثة مجلدات: C:\$Windows.~WS وC:\ESD\Windows وC:\ESD\Download، ويُدخل ملفات .txt وهمية ويتوقف مؤقتًا.
2. شغّل FolderOrFileDeleteToSystem لإعداد Config.msi.
3. شغّل FolderContentsDeleteToFolderDelete لإعادة توجيه تنظيف المحتويات من C:\ESD\Windows إلى C:/Config.msi.
   ملاحظة: استثنِ هاتين العمليتين في Defender، فقد يكتشف برنامج مكافحة الفيروسات هذه التقنية الاستغلالية.
4. استأنف تشغيل سكربت Python ثم شغّل SilentCleanup لبدء تنظيف المحتويات.
5. شغّل osk.exe، ثم اضغط Ctrl-Alt-Delete.

https://github.com/user-attachments/assets/d66b43ea-6706-4bce-94c4-ca3a6e97857f