CVE_2026_40369 Exploit

POC und EXP für CVE_2026_40369, im Zusammenhang mit meiner Analyse, mit cmake.

Debugging-Code, POC- und EXP-Dateien zur Reproduktion von CVE_2026_40369, geschrieben mit cmake. Die Kompilierung kann weiterhin direkt mit den üblichen cmake-Befehlen erfolgen.

Zum Analyseartikel:

• WeChat-Konto: https://mp.weixin.qq.com/s/jUEW6MPkWhmxt_8w2Oszhg
• Mein Blog: https://joe1sn.eu.org/2026/05/30/CVE-2026-40369

Vielleicht findest du in unserem WeChat-Konto < 不止Sec > weitere Inhalte, die dich interessieren.

Hinweis

【2026-7-23】：Mit dem prefectch-Tool habe ich versucht, kASLR zu umgehen, aber es kommt weiterhin mit hoher Wahrscheinlichkeit zu einem Bluescreen, und im praktischen Einsatz ist er praktisch nicht auslösbar.

• Der Exploit erfordert, die Basisadresse von ntoskrl.exe vorab zu leaken, was unter 25H2 schwierig ist. Deshalb muss mein beziehungsweise der ursprüngliche Exploit manuell konfiguriert werden.
• Diese Technik kann nur einmal eingesetzt werden, da es sich um eine verlustbehaftete Inkrementierung ohne festen Wert handelt. Daher kann es später vorkommen, dass die Adresse von CmpLayerVersions nicht mehr gefunden wird. Alternativ kannst du auch andere Stellen mit Versionsinformationen verwenden, um einen Victim-Fake-Chunk zu konstruieren.
• Es wird die Remote-Thread-Injektion verwendet, die möglicherweise von Antivirensoftware erkannt wird, was die Angriffsfläche erheblich einschränkt.
• In meinem Exploit musst du die Offsets je nach Systemversion möglicherweise anpassen; die Offsets befinden sich in include\common\gadget.hpp.
• Mein Exploit stellt den Wert von CmpLayerVersionCount nicht wieder her, obwohl ich denke, dass das keine Rolle spielt.