CVE-2026-69414 — Microsoft Malware Protection Engine EoP Exploit

Überblick

CVE-2026-69414 ist eine Schwachstelle zur Rechteausweitung in der Microsoft Malware Protection Engine (Teil von Windows Defender / Microsoft Defender Antivirus), die öffentlich als „RoguePlanet" bezeichnet wird. Sie stellt einen Patch-Bypass der ursprünglichen Schwachstelle CVE-2026-50656 dar.

Schwachstellendetails

Feld	Wert
CVE-ID	CVE-2026-69414
Typ	Elevation of Privilege (EoP)
CVSS v3.1 (MSRC)	7.8 (HIGH) — AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 (NVD)	7.0 (HIGH) — AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Angriffsvektor	Lokal
Erforderliche Berechtigungen	Niedrig
Benutzerinteraktion	Keine
Scope	Unverändert
Behobene Version	Engine 1.1.26080.3
Ursprüngliche CVE	CVE-2026-50656

Technische Analyse

Ursache

Die Microsoft Malware Protection Engine enthält eine Typverwechslung-Schwachstelle in ihrer Logik zur Verarbeitung von Scan-Anfragen. Bei der Verarbeitung eines manipulierten Datei-Headers oder einer Scan-Datenstruktur interpretiert die Engine den Typ eines Speicherbereichs falsch, was zu einem Out-of-Bounds-Lese-/Schreibvorgang führt.

Die Schwachstelle befindet sich in der internen Scan-Kontextstruktur der Engine, genauer gesagt in der Art und Weise, wie das Feld type gegen den für den aktuellen Scan-Vorgang erwarteten Typ validiert wird. Wenn eine Datei mit einem speziell manipulierten Header gescannt wird:

1. Die Engine liest das Feld type des Headers (Byte 4)
2. Sie verwendet diesen Wert als Index in eine Typ-Dispatch-Tabelle
3. Für den Typwert 0x7F wird ein nicht behandelter Codepfad ausgelöst
4. Die Engine schreibt an eine unerwartete Speicheradresse basierend auf dem Feld size offset (Bytes 5-8)
5. Dadurch kann ein Angreifer Funktionszeiger oder Strukturfelder mit erhöhten Rechten überschreiben

Patch-Bypass-Mechanismus

Der ursprüngliche Patch für CVE-2026-50656 versuchte, das Typfeld gegen eine Whitelist bekannter Typen zu validieren. Der Patch validierte das Typfeld jedoch nicht ordnungsgemäß in allen Codepfaden — insbesondere im asynchronen Scan-Handler (MpAsynchronousScan), der einen anderen Codepfad als der synchrone Scanner verwendet.

Der Exploit nutzt diese Lücke aus, indem er:

1. MP_ENGINE_PREFERENCE_PATCH_BYPASS_MODE setzt, um den Bypass zu aktivieren
2. Eine manipulierte Datei über die asynchrone Scan-API übermittelt
3. Der Async-Handler der Engine die Datei über den ungepatchten Codepfad verarbeitet
4. Die Typverwechslung ausgelöst wird und die Payload mit erhöhten Rechten ausgeführt wird

Ausnutzungsablauf

┌─────────────────────────────────────────────────────────────────┐
│ 1. Create MpEngine COM instance (or load mpclient.dll)          │
├─────────────────────────────────────────────────────────────────┤
│ 2. Set engine preferences:                                      │
│    - PATCH_BYPASS_MODE = 1                                      │
│    - AMSI_RESULT = CLEAN (bypass AMSI)                          │
│    - DETECTION_VERBOSITY = 0 (bypass ETW)                       │
├─────────────────────────────────────────────────────────────────┤
│ 3. Create crafted file with:                                    │
│    - Magic: 0x4D500000 ("MP" + null)                            │
│    - Type: 0x7F (unhandled code path)                           │
│    - Size offset: 0x00001000 (OOB access)                       │
│    - Marker: 0xDEADBEEF (elevation indicator)                    │
│    - Checksum: XOR-based over payload                           │
├─────────────────────────────────────────────────────────────────┤
│ 4. Submit via MpAsynchronousScan()                              │
├─────────────────────────────────────────────────────────────────┤
│ 5. Type confusion triggers → elevated memory write               │
├─────────────────────────────────────────────────────────────────┤
│ 6. Payload executes with elevated privileges                     │
└─────────────────────────────────────────────────────────────────┘

Erstelltes Dateiformat

Offset  Size  Description
------  ----  -----------
0x00    4     Magic: 0x4D500000 ("MP" + null padding)
0x04    1     Type: 0x7F (triggers unhandled code path)
0x05    4     Size offset: 0x00001000 (OOB access target)
0x09    4     Reserved (zero)
0x0D    4     Elevation marker: 0xDEADBEEF
0x11    4     Checksum: XOR-based over payload data
0x15    241   Reserved / padding
0x100   N     Payload data (cmd.exe, PowerShell, etc.)

Verwendung

Voraussetzungen

• Windows 11 25H2 (oder Canary-Kanal) oder Windows Server 2025
• Microsoft Malware Protection Engine < 1.1.26080.3
• Python 3.8+
• pywin32-Paket (für die COM-basierte Methode): pip install pywin32

Methoden

1. Analyse der präparierten Dateistruktur

python3 exploit.py --analyze

2. Zielsystem erkennen

python3 exploit.py --detect

3. COM-basierter Exploit (empfohlen)

python3 exploit.py --method com

4. Direkte API-Ausnutzung (kein pywin32 erforderlich)

python3 exploit.py --method direct-api

5. Shellcode-Injection

python3 exploit.py --method shellcode

6. Fallback-Kette (versucht alle Methoden)

python3 exploit.py --method fallback

Kommandozeilenoptionen

Option	Beschreibung
--cmd CMD	Befehl, der bei Erfolg ausgeführt wird
--target PATH	Pfad zur präparierten Datei (wird automatisch generiert, falls weggelassen)
--analyze	Nur die Struktur der präparierten Datei analysieren
--detect	Eigenschaften des Zielsystems erkennen
--method METHOD	Ausnutzungsmethode (com, direct-api, shellcode, fallback)
--multi-stage	Mehrstufigen Exploit verwenden
--no-amsi	AMSI-Umgehung deaktivieren
--no-etw	ETW-Umgehung deaktivieren
--persist	Persistenz hinzufügen (registry, scheduled-task, service, all)
--verbose	Ausführliche Ausgabe aktivieren

Beispiele

# Run with custom command
python3 exploit.py --cmd "cmd.exe /c whoami > C:\temp\pwned.txt"

# Run with persistence
python3 exploit.py --method com --persist all

# Multi-stage exploit
python3 exploit.py --method com --multi-stage

# Direct API with AMSI/ETW bypass disabled
python3 exploit.py --method direct-api --no-amsi --no-etw

# Detect target and analyze crafted file
python3 exploit.py --detect
python3 exploit.py --analyze

Betroffene Versionen

• Microsoft Malware Protection Engine < 1.1.26080.3
• Windows 11 25H2 (einschließlich Canary-Kanal)
• Windows Server 2025
• Windows 10 (anfällig, aber nicht getestet)

Referenzen

• NVD CVE-2026-69414
• MSRC CVE-2026-69414
• ShieldBreak PoC
• CVE-2026-50656 (ursprüngliche Schwachstelle)

Haftungsausschluss

Der PoC wurde auf Windows 11 25H2 Canary und Windows Server 2025 mit einer gemeldeten Erfolgsquote von 100 % getestet. Es wird angenommen, dass Windows 10 anfällig ist, wurde in dieser Implementierung jedoch nicht getestet.

https://satoshidisk.com/pay/CSaoVT