CVE-2026-20817 - Escalada de Privilegios ALPC en el Informe de Errores de Windows (WER)

Descripción

Este repositorio contiene una Prueba de Concepto (PoC) para CVE-2026-20817, una vulnerabilidad de escalada de privilegios local en el servicio de Informe de Errores de Windows (WER). La vulnerabilidad permite a un usuario autenticado con bajos privilegios ejecutar código arbitrario con privilegios de SYSTEM mediante el envío de mensajes ALPC especialmente diseñados al servicio WER.

Autor

Investigación original y PoC por:

• Twitter/X: @bytecodevm
• GitHub: @oxfemale

Detalles de la Vulnerabilidad

• ID de CVE: CVE-2026-20817
• Componente: Servicio de Informe de Errores de Windows (WER)
• Vector de Ataque: Local (ALPC)
• Privilegios Requeridos: Bajos (usuario autenticado)
• Impacto: Elevación a SYSTEM
• Parcheado: Actualización de Seguridad de enero de 2026

Resumen Técnico

El servicio WER expone un puerto ALPC llamado \WindowsErrorReportingService y proporciona varios métodos para la comunicación entre procesos. La vulnerabilidad existe en el método SvcElevatedLaunch (0x0D), donde el servicio no valida correctamente los privilegios del llamante antes de lanzar WerFault.exe con parámetros de línea de comandos proporcionados por el usuario desde memoria compartida.

Cómo funciona

1. Crear memoria compartida que contenga una línea de comandos arbitraria
2. Conectarse al puerto ALPC de WER
3. Enviar un mensaje ALPC con el método 0x0D, incluyendo:
   • ID del proceso cliente
   • Manejador de memoria compartida
   • Longitud de la línea de comandos
4. El servicio WER duplica el manejador y lanza WerFault.exe con la línea de comandos proporcionada
5. El proceso resultante se ejecuta con privilegios de SYSTEM

Privilegios Obtenidos

El proceso WerFault.exe generado se ejecuta con un token de SYSTEM que contiene:

Nota: El token NO incluye SeTcbPrivilege (Actuar como parte del sistema operativo).

Sistemas Afectados

• Windows 10 (todas las versiones anteriores a enero de 2026)
• Windows 11 (todas las versiones anteriores a enero de 2026)
• Windows Server 2019 (anterior a enero de 2026)
• Windows Server 2022 (anterior a enero de 2026)

Advertencia

Esta PoC es solo para fines educativos y de investigación. Úsela únicamente en sistemas que posea o para los que tenga permiso explícito de prueba. El uso no autorizado puede violar leyes y regulaciones.

Compilación de la PoC

Requisitos

• Windows SDK
• Visual Studio (2019 o posterior recomendado)
• Compilador compatible con C++17

Compilación

# Usando el Símbolo del sistema para desarrolladores de Visual Studio
cl /EHsc CVE-2026-20817_PoC.cpp