تحليل الثغرة الأمنية CVE-2025-62215

مشروع بحث حول ثغرة تصعيد الامتيازات في نواة ويندوز (Windows Kernel Race Condition / Double-Free Privilege Escalation).

نظرة عامة

هيكل المشروع

.
├── README.md                           # This file
├── CLAUDE.md                           # Project context for Claude Code
├── report.md                           # Comprehensive vulnerability report
├── analysis.md                         # Static analysis of public (fake) PoC
├── TODO.md                             # Next steps and research plan
├── poc/
│   ├── exploit.h                       # Common definitions & undocumented types
│   ├── exploit.cpp                     # PoC skeleton (correct APIs)
│   └── Makefile                        # MSVC (nmake) build config
└── docs/
    ├── binary-acquisition.md           # How to obtain ntoskrnl.exe binaries
    ├── patch-analysis-guide.md         # IDA Pro + BinDiff analysis guide
    ├── detection-rules.md              # Sigma / Sysmon / ETW detection rules
    └── test-environment.md             # VM + WinDbg setup guide

النتائج الرئيسية

المرحلة 1: بحث الثغرة

• CVE-2025-62215 هي ثغرة حقيقية تم تصحيحها في تحديثات نوفمبر 2025 (Patch Tuesday)
• تؤثر على جميع إصدارات ويندوز المدعومة (10, 11, Server 2019/2022/2025)
• تم استغلالها بنشاط كيوم صفري (zero-day) ومسجلة في CISA KEV

المرحلة 1: تحليل الاستغلال العام (PoC)

• الاستغلال العام (abrewer251/CVE-2025-62215_Windows_Kernel_PE) — مزوّر/غير وظيفي
  • يستخدم واجهة برمجة تطبيقات وهمية (NtCreateKernelObject)
  • VirtualAlloc في وضع المستخدم لا يمكنه رشّ تجمع النواة (kernel pool)
  • لا توجد آلية فعلية لتصعيد الامتيازات
  • لم يتم اكتشاف أي برمجيات خبيثة أو أبواب خلفية

المرحلة 2: تطوير الاستغلال (الحالي)

• تم تنفيذ هيكل PoC باستخدام واجهات برمجة تطبيقات صحيحة لنواة ويندوز
• المكونات العاملة: فحص الإصدار، كشف البيئة الافتراضية (VM)، تحليل NtDll، تجهيز التجمع (pool grooming)، تسريب EPROCESS
• معطّل: مشغّل حالة السباق يتطلب تحليلًا ثنائيًا (IDA Pro + BinDiff)

الخطوات التالية

1. الحصول على نسخة ntoskrnl.exe قبل/بعد التصحيح (انظر docs/binary-acquisition.md)
2. استخدام BinDiff لتحديد الدالة التي تم تصحيحها
3. إكمال المرحلة 3 (مشغّل الثغرة) في poc/exploit.cpp
4. الاختبار في بيئة VM معزولة (انظر docs/test-environment.md)

البناء (Windows)

# From VS Developer Command Prompt
cd poc
nmake
exploit.exe --check    # System check only

إخلاء المسؤولية

هذا المشروع لأغراض التعليم والبحث الأمني المصرّح به فقط.