CVE-2026-62737: del crash a SYSTEM asistido por laboratorio

Una continuación del análisis original de CVE-2026-62737 (llamada indirecta arbitraria al kernel de ExecutionContext.sys). Convierte el PoC del crash en una cadena de intercambio de tokens funcional que lanza cmd.exe como SYSTEM, pero solo en un laboratorio donde un depurador proporciona las direcciones y escribe la cadena ROP en la memoria del kernel. Esto no es un exploit independiente.

Qué hace

1. Abre el dispositivo ExecutionContext a través del proxy KLoader como un usuario de bajos privilegios.
2. Inicializa un ExecutionContext (0x22EC40) y pone en cola una tarea (0x22AC54) cuyo Callback es un pivot de ROP en el kernel.
3. Un script de gdb (patch_rop.py) escribe una cadena ROP de intercambio de tokens en ExecutionContext .data y captura el RSP/RBP en el momento del pivot mediante un breakpoint de hardware.
4. Un hilo watcher de corta duración despierta al worker del kernel (callback de salida 0x226C5C), la cadena intercambia nuestro token por el de SYSTEM, restaura la pila del kernel y regresa al dispatcher del driver para que el worker sobreviva.

Archivos

Requisitos

• Windows 11 25H2 con kernel 10.0.26100.8875 (los RVA de los gadgets son específicos de la compilación).
• Una VM con un stub de gdb de QEMU (gdbserver tcp::1234), un guest agent, y una carpeta compartida host/guest montada como Z:.
• Una cuenta de bajos privilegios que pueda abrir \\.\kloader\{9C0B898D-6275-48EC-81B4-E5EDBE44B535}.
• MinGW-w64 (x86_64-w64-mingw32-gcc) y gdb en el host.

Compilación

x86_64-w64-mingw32-gcc -O2 -municode -o exploit.exe exploit.c
x86_64-w64-mingw32-gcc -O2 -o modlist.exe modlist.c

Ejecución (en cada arranque)

1. Obtén bases actualizadas: ./ga.py 'Z:\modlist.exe' (después de copiar modlist.exe a la carpeta compartida)

2. Actualiza los scripts: ./refresh_bases.sh

3. Copia exploit.exe y modlist.exe a la carpeta compartida.

4. Ejecuta el exploit como el usuario de bajos privilegios: exploit.exe <nt> <ec> <ec+0x10A00>. Escribe su PID en Z:\lab_pid.txt y espera a Z:\go_lab.txt.

5. Conecta gdb, apuntando LAB_PID_FILE a la copia local de lab_pid.txt:

   root@kitploit:~

   LAB_PID_FILE=/path/to/shared/lab_pid.txt \
     gdb -q -ex 'target remote :1234' -ex 'set pagination off' -x patch_rop.py
   

   Escribe continue en el prompt de gdb.

Offsets (kernel 26100.8875)

Por qué esto no es un exploit independiente

• El callback se ejecuta en un hilo de sistema del kernel con CR3 de sistema; el ROP en memoria de usuario es imposible y no existe un alias MDL del kernel.
• Un exploit real necesita una fuga de direcciones del kernel (nt/ec) y una forma de llevar la cadena a la memoria del kernel. Ambas faltan en esta compilación.
• El RSP en el momento del pivot se captura con un breakpoint de gdb; un exploit real necesitaría una cadena residente en la pila o un gadget que guarde el RSP.

Licencia

MIT, consulta LICENSE.