uzair-baig0900/cve-2026-20805-pocDer PoC zur Offenlegung von Informationen in Microsoft Desktop Windows Management.
Proof of Concept, der eine Schwachstelle zur Offenlegung von Informationen im Microsoft Desktop Window Manager (dwm.exe) demonstriert.
Dieses Repository enthält einen benutzerdefinierten Proof of Concept (PoC), der entwickelt wurde, um CVE-2026-20805 zu reproduzieren, eine Schwachstelle zur Offenlegung von Informationen, die den Windows Desktop Window Manager-Prozess betrifft. Die Schwachstelle ermöglicht es einem lokal authentifizierten Benutzer, Kernel-Objektzeiger aufgrund unsachgemäßer Behandlung von ALPC-bezogenen Strukturen preiszugeben, was möglicherweise Kernel-Exploit-Mitigationen wie die Kernel Address Space Layout Randomization (KASLR) schwächt. Dieser PoC wurde unabhängig implementiert, nachdem Instabilitäts- und Ausführungsprobleme in bestehenden öffentlichen Skripten festgestellt wurden, mit dem Ziel, zuverlässige und verifizierbare Ergebnisse zu erzielen.
dwm.exe)Der PoC nutzt Low-Level-Windows-Native-APIs, um systemweite Handles aufzulisten und Kernel-Objektmetadaten zu untersuchen. Er verwendet NtQuerySystemInformation mit der Klasse SystemHandleInformation, um prozessspezifisches Handle-Filtering durchzuführen und ALPC-Port- und Section-Objekte zu analysieren. Unsachgemäß initialisierte Kernel-Objektzeiger werden an den Benutzermodus offengelegt, was den Informationsverlust bestätigt.
Objekte von Interesse
Während der Ausführung identifizierte der PoC erfolgreich den dwm.exe-Prozess, listete Hunderte von Handles auf, die mit dem Desktop Window Manager verbunden sind, und legte gültige 64-Bit-Kernel-Virtualadressen offen.
Autor: UZAIR AMJAD-TEAM_ALKAHF
Beispielausgabe
Handle: 0x0004
Object: 0xFFFFD58F80C0E5E0 (Kernel-Objektzeiger)
Handle: 0x011C
Object: 0xFFFFD58F80C0E1E0 (ALPC-Section-Adresse)
Die offengelegten Adressen liegen innerhalb des erwarteten Kernel-Virtualadressbereichs, was die erfolgreiche Offenlegung von Informationen bestätigt.