Preuve de concept pour CVE-2026-21508

Description :

La preuve de concept consiste en un simple script batch et un projet DLL :

La DLL sera utilisée pour effectuer l'attaque de détournement de DLL et effectuera principalement les actions suivantes lorsqu'elle sera chargée par WUDFHost.exe :
1. Exécute RevertToSelf() pour arrêter l'usurpation d'identité et revenir à un statut privilégié.
2. Fait quelque chose à titre d'exemple. Dans ce cas, je lance une instance élevée de cmd.exe (sur session 0) afin qu'une exécution réussie puisse être facilement identifiée en vérifiant avec Process Explorer (ou tout autre outil de votre choix) si cmd.exe a été démarré par WUDFHost.exe
le fichier batch SETUP.bat sera simplement utilisé pour copier la DLL dans le dossier correct et créer les clés de registre nécessaires pour déclencher le chargement de la DLL conçue par WUDFHost.exe.
Il y a également une image .jpg dans la POC qui sera copiée par SETUP.bat vers le chemin de la clé USB que vous spécifiez comme premier argument, garantissant qu'au moins une image .jpg se trouve sur la clé USB.

En tant qu'utilisateur non privilégié, procédez comme suit :

Extrayez la POC dans un dossier de votre choix.
Compilez le projet en version release
Assurez-vous qu'une clé USB est connectée à l'ordinateur.
Lancez SETUP.bat avec comme premier argument le chemin de la clé USB connectée à l'ordinateur où alps.jpg sera copié, par exemple SETUP.bat F:\ (en garantissant qu'au moins une image .jpg se trouve sur la clé USB.)
La vulnérabilité est déclenchée lorsque "C:\Program Files (x86)\Windows Media Player\wmplayer.exe" est démarré. Donc, s'il n'est pas déjà configuré, configurez Windows Media Player pour l'utilisateur actuel (vous pouvez utiliser les paramètres recommandés par défaut). Notez que cela ne nécessite pas de privilèges administrateur ; Suivez simplement l'installateur lorsque SETUP.bat lance "C:\Program Files (x86)\Windows Media Player\wmplayer.exe".

Remarque : la preuve de concept a été testée et développée pour Windows 11.