redpack-kr/cve-2025-60710Proof-of-Concept-Exploit für CVE-2025-60710, eine lokale Rechteausweitungsschwachstelle in der Windows Recall geplanten Aufgabe, die das Löschen beliebiger Ordner als SYSTEM über einen symbolischen Link-Angriff ermöglicht.
Dies ist ein PoC für eine lokale Privilegienausweitung-Schwachstelle im geplanten Task \Microsoft\Windows\WindowsAI\Recall\PolicyConfiguration.
Wenn dieser geplante Task gestartet wird, versucht der Prozess taskhostw.exe, das Verzeichnis C:\Users\%username%\AppData\Local\CoreAIPlatform.00\UKP zu öffnen und sucht nach Verzeichnissen mit dem folgenden Filter: {????????-????-????-????-????????????}. Wird ein solches Verzeichnis gefunden, wird es gelöscht, ohne auf symbolische Links zu prüfen.
Da ein Benutzer mit niedrigen Rechten standardmäßig Verzeichnisse in seinem eigenen %LOCALAPPDATA%-Ordner erstellen kann, führt dies zu einem beliebigen Ordnerlöschvorgang im Kontext des Benutzers NT AUTHORITY\SYSTEM.
Der geplante Task ist mit mehreren Triggern konfiguriert, die zum Starten des Tasks verwendet werden können.
<Triggers>
<WnfStateChangeTrigger id="RecallPolicyCheckUpdateTrigger">
<Enabled>true</Enabled>
<StateName>7508BCA32C079E41</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="AADStatusChangeTrigger">
<Enabled>true</Enabled>
<StateName>7508BCA32C0F8241</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="DisableAIDataAnalysisTrigger">
<Enabled>true</Enabled>
<StateName>7528BCA32C079E41</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="UserLoginTrigger">
<Enabled>true</Enabled>
<StateName>7510BCA338038113</StateName>
</WnfStateChangeTrigger>
<SessionStateChangeTrigger id="SessionUnlockTrigger">
<Enabled>true</Enabled>
<StateChange>SessionUnlock</StateChange>
</SessionStateChangeTrigger>
</Triggers>
Dieser PoC nutzt den WnfStateChangeTrigger RecallPolicyCheckUpdateTrigger, um den geplanten Task zu starten.
