CVE-2026-50343: InstallService StaticPluginMap EoP (Standard User to SYSTEM)

لقد اكتشفت وأبلغت بشكل مستقل عن الثغرة الأمنية التي يتم تتبعها الآن باسم CVE-2026-50343. أكدت MSRC أن إرسالي كان مكررًا لتقرير سابق من باحث آخر. يمكن لمستخدم تفاعلي قياسي كتابة حالة إضافات يتحكم فيها المهاجم تحت HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State. تعمل خدمة تثبيت متجر Microsoft كـ NT AUTHORITY\SYSTEM، وتقرأ PlugInList وStaticPluginMap، وتقوم بتحميل DLL المعينة بعد تشغيل عام AppInstallManager.SearchForAllUpdatesAsync(). والنتيجة هي تنفيذ كود من مستخدم قياسي محلي إلى SYSTEM.

📹 فيديو توضيحي لـ SYSTEM shell تفاعلي

TL;DR

InstallService يثق في أسماء الإضافات ومسارات DLL من حالة HKLM التي يمكن لمستخدم تفاعلي قياسي كتابتها. يقوم مستخدم منخفض الصلاحيات بإنشاء اسم إضافة جديد، ويوجهه إلى DLL يتحكم فيه المهاجم، ويستدعي واجهة برمجة تطبيقات WinRT للتحكم في تثبيت المتجر. ثم يقوم InstallService بتحميل تلك الـ DLL داخل C:\Windows\System32\svchost.exe كـ NT AUTHORITY\SYSTEM.

إن إعادة الإنتاج الأقوى للآلة الافتراضية الجديدة في هذا المستودع يفتح نافذة cmd.exe للنظام بشكل مرئي في جلسة سطح المكتب النشطة. في الفيديو المرفق، يبدأ desktop-ud6iv88\user1 كمستخدم قياسي ويبلغ الصدفة المنبثقة بما يلي:

nt authority\system S-1-5-18

الثغرة

تعيش الحالة الضعيفة تحت:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\PlugInList
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\StaticPluginMap

في الإصدارات المختبرة، يمكن لمستخدم تفاعلي قياسي إنشاء المفاتيح الفرعية المفقودة أو تعيين القيم تحتها. لاحقًا، يستهلك InstallService تلك القيم كتكوين للإضافات أثناء تشغيله كـ SYSTEM.

سلسلة الاستغلال الأساسية:

1. يضع المستخدم القياسي DLL يتحكم فيه المهاجم في موقع قابل للقراءة.
2. يكتب المستخدم القياسي PlugInList\<اسم إضافة جديد> = 1.
3. يكتب المستخدم القياسي StaticPluginMap\<اسم إضافة جديد> = <DLL المهاجم>.
4. يستدعي المستخدم القياسي AppInstallManager.SearchForAllUpdatesAsync().
5. يقوم InstallService بتحميل DLL المهاجم كـ SYSTEM.
6. يتم تنفيذ كود DLL كـ NT AUTHORITY\SYSTEM.

إعادة إنتاج SYSTEM Shell تفاعلي

استخدم إعادة الإنتاج الأقوى:

interactive-system-shell-repro/

من PowerShell كمستخدم قياسي:

cd interactive-system-shell-repro
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Cleanup-InstallServiceInteractiveShell.ps1
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Run-InstallServiceInteractiveShell.ps1

عند فتح SYSTEM shell:

whoami /user
whoami /priv

كل تشغيل يكتب أدلة تحت:

C:\Users\Public\InstallServiceEopProof\<timestamp>

إعادة الإنتاج الأصلية المصغرة

لا تزال ملفات الإرسال الأصلية لـ MSRC موجودة كمرجع:

الاستخدام:

powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -PayloadDll "C:\Users\Public\isp_exploit.dll"
powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -Cleanup

الجدول الزمني

الموارد

• إرشادات Microsoft: CVE-2026-50343
• إعادة الإنتاج القوية: interactive-system-shell-repro/
• فيديو توضيحي: interactive-system-shell-repro/evidence/installservice-staticplugin.mp4
• PoC الأصلي: exploit.ps1
• مصدر canary الأصلي: canary.c

إخلاء مسؤولية: يتم توفير كود الاستغلال هذا لأغراض البحث الأمني والتعليمي. لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها. المؤلف غير مسؤول عن سوء الاستخدام.

CVE-2026-50343 - تم الإبلاغ عنه بشكل مستقل إلى MSRC كحالة 120271 / VULN-192719 وتم تأكيده كمكرر لإرسال باحث سابق.

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online