CVE-2026-36213-poc

CVE-2026-36213: Lokale Rechteausweitung in MEmu Android Emulator 9.2.7.0

https://img.shields.io/badge/platform-Windows-blue https://img.shields.io/badge/CVE-2026--36213-red https://img.shields.io/badge/EDB--ID-52615-orange

Überblick

Dieses Repository enthält einen Python-Proof-of-Concept (PoC) für CVE-2026-36213, eine lokale Privilegieneskalations-Schwachstelle in MEmu Android Emulator 9.2.7.0 unter Windows.

Die Schwachstelle besteht aufgrund unsicherer NTFS-Berechtigungen für die Binärdatei des MEmuSVC-Dienstes (MemuService.exe), die mit NT AUTHORITY\SYSTEM-Privilegien ausgeführt wird. Benutzer mit geringen Privilegien können die Binärdatei ersetzen, was bei einem Neustart des Dienstes zur Ausführung beliebigen Codes als SYSTEM führt.

· CVE: CVE-2026-36213 · EDB-ID: 52615 · Typ: Lokale Privilegieneskalation · CWE: CWE-732 (Falsche Berechtigungszuweisung für kritische Ressource) · CVSS v3.1: 7.8 HIGH (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)

Details zur Schwachstelle

MEmu installiert einen Windows-Dienst namens MEmuSVC, der als NT AUTHORITY\SYSTEM ausgeführt wird. Die Binärdatei des Dienstes befindet sich unter:

C:\Program Files\Microvirt\MEmu\MemuService.exe

ist mit schwachen NTFS-Berechtigungen konfiguriert, die FullControl (F) gewähren an:

· BUILTIN\Users · Everyone

Ein lokaler Benutzer mit geringen Privilegien kann diese Binärdatei mit einer bösartigen ausführbaren Datei überschreiben. Wenn der Dienst neu gestartet wird (entweder manuell, durch einen Systemneustart oder auf andere Weise), wird die Nutzlast mit SYSTEM-Privilegien ausgeführt.

Voraussetzungen

· Windows 10 / 11 x64 · Python 3.x · .NET Framework 4.0+ (damit csc.exe die Nutzlast kompilieren kann) · MEmu Android Emulator 9.2.7.0 installiert (Standardpfad)

Verwendung

1. Speichern Sie das PoC-Skript als CVE-2026-36213.py.
2. Öffnen Sie eine Eingabeaufforderung als Benutzer mit geringen Privilegien (nicht als Administrator).
3. Führen Sie aus:

   python CVE-2026-36213.py
   

4. Das Skript wird: · die anfälligen Berechtigungen für MemuService.exe überprüfen · eine harmlose Nutzlast kompilieren, die C:\Windows\Temp\pwned.txt schreibt · die ursprüngliche Binärdatei sichern und durch die Nutzlast ersetzen · versuchen, den MEmuSVC-Dienst neu zu starten
5. Überprüfen Sie nach der Ausführung die Markierungsdatei:

   C:\Windows\Temp\pwned.txt
   

   Bei Erfolg enthält sie die Ausgabe von whoami, die nt authority\system anzeigt.

Hinweis: Wenn das Skript den Dienst aufgrund fehlender Berechtigungen nicht neu starten kann, starten Sie den Dienst manuell neu oder starten Sie den Rechner neu, um die Nutzlast auszulösen.

Erkennung

Um zu prüfen, ob ein System anfällig ist, führen Sie aus:

icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"

Eine anfällige Ausgabe enthält:

BUILTIN\Users:(F)
Everyone:(F)

Behebung

· Hersteller-Fix: Microvirt sollte die NTFS-Berechtigungen für MemuService.exe korrigieren. · Manuelle Gegenmaßnahme: Administratoren können die Berechtigungen einschränken mit:

icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe" /inheritance:r /grant:r "SYSTEM:(F)" "Administrators:(F)"

Dies entfernt vererbte Berechtigungen und gewährt FullControl nur SYSTEM und Administrators.

Haftungsausschluss

Dieser PoC wird ausschließlich für autorisierte Sicherheitstests und Bildungszwecke bereitgestellt. Verwenden Sie ihn nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben. Der Autor übernimmt keine Haftung für jeglichen Missbrauch oder Schaden, der durch diesen Code verursacht wird.

Referenzen

· Exploit-DB 52615 · NVD - CVE-2026-36213 · CWE-732