CVE-2026-36213-poc

CVE-2026-36213: Escalada de privilegios locales en MEmu Android Emulator 9.2.7.0

https://img.shields.io/badge/platform-Windows-blue https://img.shields.io/badge/CVE-2026--36213-red https://img.shields.io/badge/EDB--ID-52615-orange

Descripción general

Este repositorio contiene una prueba de concepto (PoC) en Python para CVE-2026-36213, una vulnerabilidad de escalada de privilegios local en MEmu Android Emulator 9.2.7.0 en Windows.

La vulnerabilidad existe debido a permisos NTFS inseguros en el binario del servicio MEmuSVC (MemuService.exe), que se ejecuta con privilegios de NT AUTHORITY\SYSTEM. Los usuarios con pocos privilegios pueden reemplazar el binario, lo que lleva a la ejecución de código arbitrario como SYSTEM al reiniciar el servicio.

· CVE: CVE-2026-36213 · EDB-ID: 52615 · Tipo: Escalada de privilegios local · CWE: CWE-732 (Asignación incorrecta de permisos para un recurso crítico) · CVSS v3.1: 7.8 ALTO (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)

Detalles de la vulnerabilidad

MEmu instala un servicio de Windows llamado MEmuSVC que se ejecuta como NT AUTHORITY\SYSTEM. El binario del servicio ubicado en:

C:\Program Files\Microvirt\MEmu\MemuService.exe

está configurado con permisos NTFS débiles, otorgando FullControl (F) a:

· BUILTIN\Users · Everyone

Un usuario local con pocos privilegios puede sobrescribir este binario con un ejecutable malicioso. Cuando se reinicia el servicio (ya sea manualmente, mediante un reinicio del sistema u otros medios), la carga útil se ejecuta con privilegios de SYSTEM.

Requisitos

· Windows 10 / 11 x64 · Python 3.x · .NET Framework 4.0+ (para que csc.exe compile la carga útil) · MEmu Android Emulator 9.2.7.0 instalado (ruta predeterminada)

Uso

1. Guarde el script PoC como CVE-2026-36213.py.
2. Abra un símbolo del sistema como un usuario con pocos privilegios (no administrador).
3. Ejecute:

   python CVE-2026-36213.py
   

4. El script hará lo siguiente: · Verificar los permisos vulnerables en MemuService.exe · Compilar una carga útil benigna que escriba C:\Windows\Temp\pwned.txt · Hacer una copia de seguridad del binario original y reemplazarlo con la carga útil · Intentar reiniciar el servicio MEmuSVC
5. Después de la ejecución, verifique el archivo marcador:

   C:\Windows\Temp\pwned.txt
   

   Si tiene éxito, contendrá la salida de whoami mostrando nt authority\system.

Nota: Si el script no puede reiniciar el servicio debido a la falta de permisos, reinicie el servicio manualmente o reinicie la máquina para activar la carga útil.

Detección

Para comprobar si un sistema es vulnerable, ejecute:

icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"

La salida vulnerable incluye:

BUILTIN\Users:(F)
Everyone:(F)

Remediación

· Corrección del proveedor: Microvirt debería corregir los permisos NTFS en MemuService.exe. · Mitigación manual: Los administradores pueden restringir los permisos con:

icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe" /inheritance:r /grant:r "SYSTEM:(F)" "Administrators:(F)"

Esto elimina los permisos heredados y otorga FullControl solo a SYSTEM y Administrators.

Descargo de responsabilidad

Esta PoC se proporciona únicamente para pruebas de seguridad autorizadas y fines educativos. No la utilice contra sistemas que no sean de su propiedad o para los que no tenga permiso explícito por escrito para realizar pruebas. El autor no asume ninguna responsabilidad por cualquier uso indebido o daño causado por este código.

Referencias

· Exploit-DB 52615 · NVD - CVE-2026-36213 · CWE-732