CVE-2026-36213-poc

CVE-2026-36213: تصعيد الامتيازات المحلية في محاكي أندرويد MEmu 9.2.7.0

https://img.shields.io/badge/platform-Windows-blue https://img.shields.io/badge/CVE-2026--36213-red https://img.shields.io/badge/EDB--ID-52615-orange

نظرة عامة

يحتوي هذا المستودع على إثبات مفهوم (PoC) بلغة Python للثغرة CVE-2026-36213، وهي ثغرة تصعيد امتيازات محلية في محاكي MEmu Android Emulator 9.2.7.0 على Windows.

توجد الثغرة بسبب أذونات NTFS غير الآمنة على الملف التنفيذي لخدمة MEmuSVC (MemuService.exe)، والذي يعمل بامتيازات NT AUTHORITY\SYSTEM. يمكن للمستخدمين ذوي الامتيازات المنخفضة استبدال الملف التنفيذي، مما يؤدي إلى تنفيذ تعليمات برمجية عشوائية بامتيازات SYSTEM عند إعادة تشغيل الخدمة.

· CVE: CVE-2026-36213 · EDB-ID: 52615 · النوع: تصعيد امتيازات محلي · CWE: CWE-732 (تعيين أذونات غير صحيح لمورد حساس) · CVSS v3.1: 7.8 HIGH (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)

تفاصيل الثغرة

يقوم MEmu بتثبيت خدمة Windows باسم MEmuSVC تُنفَّذ بامتيازات NT AUTHORITY\SYSTEM. يقع الملف التنفيذي للخدمة في:

C:\Program Files\Microvirt\MEmu\MemuService.exe

وهو مُهيَّأ بأذونات NTFS ضعيفة، تمنح FullControl (F) إلى:

· BUILTIN\Users · Everyone

يمكن لمستخدم محلي ذي امتيازات منخفضة الكتابة فوق هذا الملف التنفيذي بملف تنفيذي خبيث. وعند إعادة تشغيل الخدمة (سواء يدويًا، أو عبر إعادة تشغيل النظام، أو بوسائل أخرى)، تُنفَّذ الحمولة بامتيازات SYSTEM.

المتطلبات

· Windows 10 / 11 x64 · Python 3.x · .NET Framework 4.0+ (لكي يتمكن csc.exe من تجميع الحمولة) · محاكي MEmu Android Emulator 9.2.7.0 مثبَّت (المسار الافتراضي)

الاستخدام

1. احفظ سكربت PoC باسم CVE-2026-36213.py.
2. افتح موجه أوامر كمستخدم ذي امتيازات منخفضة (وليس كمسؤول).
3. شغّل:

   python CVE-2026-36213.py
   

4. سيقوم السكربت بما يلي: · التحقق من الأذونات الضعيفة على MemuService.exe · تجميع حمولة غير ضارة تكتب C:\Windows\Temp\pwned.txt · عمل نسخة احتياطية من الملف التنفيذي الأصلي واستبداله بالحمولة · محاولة إعادة تشغيل خدمة MEmuSVC
5. بعد التنفيذ، تحقق من ملف العلامة:

   C:\Windows\Temp\pwned.txt
   

   إذا نجح الأمر، فسيحتوي على مخرجات whoami تُظهر nt authority\system.

ملاحظة: إذا لم يتمكن السكربت من إعادة تشغيل الخدمة بسبب نقص الأذونات، فأعد تشغيل الخدمة يدويًا أو أعد تشغيل الجهاز لتفعيل الحمولة.

الكشف

للتحقق مما إذا كان النظام عرضة للثغرة، شغّل:

icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"

تتضمن المخرجات الدالة على وجود الثغرة:

BUILTIN\Users:(F)
Everyone:(F)

المعالجة

· إصلاح المورّد: ينبغي لـ Microvirt تصحيح أذونات NTFS على MemuService.exe. · التخفيف اليدوي: يمكن للمسؤولين تقييد الأذونات باستخدام:

icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe" /inheritance:r /grant:r "SYSTEM:(F)" "Administrators:(F)"

يؤدي هذا إلى إزالة الأذونات الموروثة ومنح FullControl فقط إلى SYSTEM وAdministrators.

إخلاء المسؤولية

يُقدَّم هذا الـ PoC لأغراض اختبار الأمان المصرَّح به والأغراض التعليمية فقط. لا تستخدمه ضد أنظمة لا تملكها أو لا تملك إذنًا كتابيًا صريحًا لاختبارها. لا يتحمل المؤلف أي مسؤولية عن أي إساءة استخدام أو ضرر ناتج عن هذا الكود.

المراجع

· Exploit-DB 52615 · NVD - CVE-2026-36213 · CWE-732