Análisis de Vulnerabilidad CVE-2025-62215

Proyecto de investigación de vulnerabilidad para escalada de privilegios por Race Condition / Double-Free en el kernel de Windows.

Resumen

Estructura del Proyecto

.
├── README.md                           # Este archivo
├── CLAUDE.md                           # Contexto del proyecto para Claude Code
├── report.md                           # Informe completo de vulnerabilidad
├── analysis.md                         # Análisis estático del PoC público (falso)
├── TODO.md                             # Próximos pasos y plan de investigación
├── poc/
│   ├── exploit.h                       # Definiciones comunes y tipos no documentados
│   ├── exploit.cpp                     # Esqueleto del PoC (APIs correctas)
│   └── Makefile                        # Configuración de compilación MSVC (nmake)
└── docs/
    ├── binary-acquisition.md           # Cómo obtener binarios de ntoskrnl.exe
    ├── patch-analysis-guide.md         # Guía de análisis con IDA Pro + BinDiff
    ├── detection-rules.md              # Reglas de detección Sigma / Sysmon / ETW
    └── test-environment.md             # Guía de configuración de VM + WinDbg

Hallazgos Clave

Fase 1: Investigación de Vulnerabilidad

• CVE-2025-62215 es una vulnerabilidad real parcheada en el martes de parches de noviembre de 2025
• Afecta a todas las versiones compatibles de Windows (10, 11, Server 2019/2022/2025)
• Explotada activamente como día cero, registrada en CISA KEV

Fase 1: Análisis del PoC Público

• PoC público (abrewer251/CVE-2025-62215_Windows_Kernel_PE) — falso/no funcional
  • Usa una API ficticia (NtCreateKernelObject)
  • VirtualAlloc en modo usuario no puede hacer spray del pool del kernel
  • Sin mecanismo real de escalada de privilegios
  • No se detectaron elementos de malware/backdoor

Fase 2: Desarrollo del PoC (Actual)

• Implementado esqueleto del PoC con APIs correctas del kernel de Windows
• Componentes funcionales: verificación de versión, detección de VM, resolución de NtDll, preparación del pool (pool grooming), fuga de EPROCESS
• Bloqueado: El disparador de la condición de carrera requiere análisis de binarios (IDA Pro + BinDiff)

Próximos Pasos

1. Obtener ntoskrnl.exe previo y posterior al parche (ver docs/binary-acquisition.md)
2. BinDiff para identificar la función parcheada
3. Completar la Fase 3 (disparador de vulnerabilidad) en poc/exploit.cpp
4. Probar en un entorno de VM aislado (ver docs/test-environment.md)

Compilación (Windows)

# Desde el Símbolo del sistema para desarrolladores de VS
cd poc
nmake
exploit.exe --check    # Solo verificación del sistema

Descargo de responsabilidad

Este proyecto es solo para fines educativos y de investigación de seguridad autorizada.