CVE-2023-36874 Proof of Concept (PoC)

Eine pädagogische und defensiv ausgerichtete Forschungsimplementierung der CVE-2023-36874-Schwachstelle, die eine lokale Privilegienausweitung (Local Privilege Escalation, LPE) innerhalb der Windows-Fehlerberichterstattung (Windows Error Reporting, WER) demonstriert.

⚠️ Disclaimer

Dieses Repository und der bereitgestellte Quellcode sind ausschließlich für Bildungszwecke, Sicherheitsforschung und defensive Audits gedacht. Führen Sie diesen Code nicht auf Produktionssystemen oder in Umgebungen ohne ausdrückliche Genehmigung aus. Der Autor übernimmt keine Haftung für Missbrauch, Schäden oder illegale Aktivitäten, die mit diesem Material durchgeführt werden.

---

🔍 Überblick über die Schwachstelle

CVE-2023-36874 ist eine logische Schwachstelle zur Privilegienausweitung in der Windows-Fehlerberichterstattung (WER).

Ein Angreifer mit niedrigen Privilegien kann diese Schwachstelle ausnutzen, indem er den Namespace des Windows-Objektmanagers manipuliert. Durch die Erstellung eines benutzerdefinierten symbolischen Links (\??\C:) im lokalen Sitzungsverzeichnis kann der Angreifer Dateizugriffsanfragen, die für das Stammlaufwerk bestimmt sind, umleiten.

Wenn ein hoch privilegierter Dienst (NT AUTHORITY\SYSTEM) Fehlerberichtsaufgaben über spezifische, undokumentierte COM-Schnittstellen (wie IErcLuaSupport) auslöst, führt er Dateien aus dem umgeleiteten Pfad unsachgemäß aus. Dadurch kann eine vom Benutzer kontrollierte Binärdatei (wermgr.exe) mit SYSTEM-Privilegien ausgeführt werden.

🛠️ Projektstruktur

• main.cpp — Der Haupt-C++-Quellcode, der für die Umgebungseinrichtung, das Erstellen von Objektmanager-Symlinks und die COM-Interaktion verantwortlich ist.
• exploit.exe (Platzhalter) — Die Ziel-Payload-Binärdatei, die vom privilegierten Dienst gestartet wird.

---

🚀 Erstellen des Projekts

Voraussetzungen

• Visual Studio 2022 (oder höher) mit installierter Workload Desktopentwicklung mit C++.
• Zielbetriebssystem: Nicht gepatchtes Windows 10/11 oder Windows Server (vor den Sicherheitsupdates vom Juli 2023).

Konfiguration in Visual Studio

1. Öffnen Sie Visual Studio und erstellen Sie ein neues leeres C++-Projekt.
2. Fügen Sie main.cpp zu den Quelldateien hinzu.
3. Entscheidend: Ändern Sie die Build-Konfiguration von x86 (Win32) zu x64. Der Exploit basiert auf der 64-Bit-Systempfadauflösung.
4. Erstellen Sie die Projektmappe (Strg + Umschalt + B).

---

📊 Technischer Ablauf und Ausführungsverhalten

Bei der Ausführung führt das Programm die folgenden Operationen im Hintergrund aus:

1. Umgebungsinitialisierung: Erstellt Dummy-Berichtsordner in C:\ProgramData und bereitet eine gespiegelte Verzeichnisstruktur in C:\Users\Public\test\Windows\System32 vor.
2. Objektmanager-Hijacking: Ruft NtCreateSymbolicLinkObject auf, um Anfragen an das lokale Sitzungslaufwerk C: auf den benutzerdefinierten Ordner Public\test umzuleiten.
3. COM-Aktivierung: Stellt eine Verbindung zum prozessexternen COM-Server über CLSID_ERCLuaSupport her.
4. Auslösung der Ausführung: Zwingt den privilegierten Dienst, den Dummy-Bericht über SubmitReport() zu laden und zu übermitteln. Das System versucht, C:\Windows\System32\wermgr.exe zu starten, wird jedoch auf die Payload umgeleitet.

Ausgabe

Die Binärdatei läuft lautlos im Hintergrund.

• Bei Erfolg ist der Exit-Code 0 und Ihre Payload wird im Kontext von NT AUTHORITY\SYSTEM ausgeführt.
• Bei einem Fehler (z. B. aufgrund fehlender Voraussetzungen oder eines bereits angewendeten Patches) wird sie mit -1 beendet.

---

🛡️ Behebung und Patching

Dieses Problem wurde von Microsoft offiziell im Update-Zyklus des Patch-Dienstags im Juli 2023 behoben.

Um diese und ähnliche Schwachstellen zu entschärfen:

• Stellen Sie sicher, dass Ihr Betriebssystem mit den neuesten kumulativen Qualitätsupdates auf dem neuesten Stand ist.
• Stellen Sie sicher, dass die Pfadvalidierung und die Bereinigung von Impersonation-Tokens in benutzerdefinierten Systemdiensten ordnungsgemäß implementiert sind.