CVE-2026-50343: InstallService StaticPluginMap EoP (Standardbenutzer zu SYSTEM)

Ich habe die Schwachstelle, die nun als CVE-2026-50343 geführt wird, unabhängig entdeckt und gemeldet. MSRC bestätigte meine Einreichung als Duplikat eines früheren Berichts eines anderen Forschers. Ein interaktiver Standardbenutzer kann angreiferkontrollierten Plugin-Status unter HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State schreiben. Der Microsoft-Store-Installationsdienst läuft als NT AUTHORITY\SYSTEM, liest PlugInList und StaticPluginMap und lädt die zugeordnete DLL nach einem öffentlichen Aufruf von AppInstallManager.SearchForAllUpdatesAsync(). Das Ergebnis ist eine Codeausführung von lokalem Standardbenutzer zu SYSTEM.

📹 Interaktives Demo-Video der SYSTEM-Shell

TL;DR

InstallService vertraut Plugin-Namen und DLL-Pfaden aus dem HKLM-Status, den ein interaktiver Standardbenutzer schreiben kann. Ein Benutzer mit niedrigen Rechten erstellt einen neuen Plugin-Namen, verweist damit auf eine angreiferkontrollierte DLL und ruft die WinRT-API zur Installationssteuerung des Stores auf. InstallService lädt diese DLL anschließend innerhalb von C:\Windows\System32\svchost.exe als NT AUTHORITY\SYSTEM.

Das stärkere Repro mit frischer VM in diesem Repository öffnet ein sichtbares SYSTEM-cmd.exe in der aktiven Desktop-Sitzung. Im beigefügten Video startet desktop-ud6iv88\user1 als Standardbenutzer, und die erzeugte Shell meldet:

nt authority\system S-1-5-18

Vulnerability

Der angreifbare Zustand befindet sich unter:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\PlugInList
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\StaticPluginMap

Auf den getesteten Builds kann ein interaktiver Standardbenutzer die fehlenden Unterschlüssel erstellen oder Werte darunter setzen. InstallService verarbeitet diese Werte später als Plugin-Konfiguration, während er als SYSTEM läuft.

Die zentrale Exploit-Kette:

1. Der Standardbenutzer platziert eine angreiferkontrollierte DLL an einem lesbaren Speicherort.
2. Der Standardbenutzer schreibt PlugInList\<fresh plugin name> = 1.
3. Der Standardbenutzer schreibt StaticPluginMap\<fresh plugin name> = <attacker DLL>.
4. Der Standardbenutzer ruft AppInstallManager.SearchForAllUpdatesAsync() auf.
5. InstallService lädt die Angreifer-DLL als SYSTEM.
6. Der DLL-Code wird als NT AUTHORITY\SYSTEM ausgeführt.

Interaktives Repro der SYSTEM-Shell

Verwenden Sie das stärkere Repro:

interactive-system-shell-repro/

Aus einer PowerShell mit Standardbenutzerrechten:

cd interactive-system-shell-repro
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Cleanup-InstallServiceInteractiveShell.ps1
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Run-InstallServiceInteractiveShell.ps1

Wenn sich die SYSTEM-Shell öffnet:

whoami /user
whoami /priv

Jeder Lauf schreibt Nachweise unter:

C:\Users\Public\InstallServiceEopProof\<timestamp>

Ursprüngliches Minimal-Repro

Die ursprünglichen MSRC-Einreichungsdateien sind weiterhin als Referenz vorhanden:

Verwendung:

powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -PayloadDll "C:\Users\Public\isp_exploit.dll"
powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -Cleanup

Zeitleiste

Ressourcen

• Microsoft-Sicherheitshinweis: CVE-2026-50343
• Stärkeres Repro: interactive-system-shell-repro/
• Demo-Video: interactive-system-shell-repro/evidence/installservice-staticplugin.mp4
• Ursprünglicher PoC: exploit.ps1
• Original-Canary-Quellcode: canary.c

Haftungsausschluss: Dieser Exploit-Code wird zu Zwecken der Sicherheitsforschung und zu Bildungszwecken bereitgestellt. Verwenden Sie ihn nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Genehmigung zum Testen haben. Der Autor ist nicht für Missbrauch verantwortlich.

CVE-2026-50343 - unabhängig als Fall 120271 / VULN-192719 bei MSRC gemeldet und als Duplikat einer früheren Forschereinreichung bestätigt.

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online