CVE_2026_40369 Exploit

poc y exp para CVE_2026_40369, relacionados con mi análisis, usa cmake.

Código de depuración, archivos poc y exp para la reproducción de CVE_2026_40369, escritos con cmake. Como siempre, basta con usar los comandos habituales de cmake para completar la compilación.

Sobre el artículo de análisis:

• Cuenta oficial de WeChat: https://mp.weixin.qq.com/s/jUEW6MPkWhmxt_8w2Oszhg
• Mi blog: https://joe1sn.eu.org/2026/05/30/CVE-2026-40369

Quizás nuestra cuenta oficial de WeChat < 不止Sec > tenga más contenido que te interese

Nota

【2026-7-23】：Intenté usar la herramienta prefectch para evadir kASLR, pero aún hay una alta probabilidad de pantalla azul, y en la práctica apenas se puede lograr.

• La explotación requiere filtrar previamente la dirección base de ntoskrl.exe, lo cual resulta difícil en 25H2. Por eso mi exp original necesita configuración manual.
• Esta técnica solo puede activarse una vez; como es un incremento sin valor fijo y con pérdidas, posteriormente puede ocurrir que no se encuentre la dirección de CmpLayerVersions. O también puedes usar una ubicación diferente de la información de versión para construir el victim fake chunk.
• Se utilizó la técnica de inyección de hilos remotos, que puede no superar la detección del antivirus, lo que reduce enormemente la superficie de ataque.
• En mi exp, probablemente necesites modificar los offsets según las distintas versiones del sistema; los offsets están en include\common\gadget.hpp.
• Mi exp no restaura el valor de CmpLayerVersionCount, aunque creo que no importa.