wh04m1001/cve-2025-60710Proof-of-Concept-Exploit für CVE-2025-60710, eine lokale Sicherheitslücke zur Privilegienausweitung im geplanten Windows Recall-Task durch beliebiges Löschen von Ordnern als SYSTEM.
Dies ist ein PoC für eine lokale Privilegienausweitungsschwachstelle im geplanten Task \Microsoft\Windows\WindowsAI\Recall\PolicyConfiguration.
Wenn dieser geplante Task gestartet wird, versucht der taskhostw.exe-Prozess, das Verzeichnis C:\Users\%username%\AppData\Local\CoreAIPlatform.00\UKP zu öffnen und sucht mit folgendem Filter nach Verzeichnissen: {????????-????-????-????-????????????}. Wenn ein solches Verzeichnis gefunden wird, wird es gelöscht, ohne auf symbolische Links zu prüfen.
Da ein Benutzer mit niedrigen Rechten standardmäßig eigene Verzeichnisse in seinem eigenen %LOCALAPPDATA%-Ordner erstellen kann, führt dies zur Löschung beliebiger Ordner im Kontext des Benutzers NT AUTHORITY\SYSTEM.
Der geplante Task ist mit mehreren Triggern konfiguriert, die zum Starten des Tasks verwendet werden können.
<Triggers>
<WnfStateChangeTrigger id="RecallPolicyCheckUpdateTrigger">
<Enabled>true</Enabled>
<StateName>7508BCA32C079E41</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="AADStatusChangeTrigger">
<Enabled>true</Enabled>
<StateName>7508BCA32C0F8241</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="DisableAIDataAnalysisTrigger">
<Enabled>true</Enabled>
<StateName>7528BCA32C079E41</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="UserLoginTrigger">
<Enabled>true</Enabled>
<StateName>7510BCA338038113</StateName>
</WnfStateChangeTrigger>
<SessionStateChangeTrigger id="SessionUnlockTrigger">
<Enabled>true</Enabled>
<StateChange>SessionUnlock</StateChange>
</SessionStateChangeTrigger>
</Triggers>
Dieser PoC nutzt den WnfStateChangeTrigger RecallPolicyCheckUpdateTrigger, um den geplanten Task zu starten.
