beardhammer/cve-2026-85884Preuve de concept PowerShell démontrant CVE-2026-85884, une élévation de privilèges Windows whesvc/WinDiag Lua ETW depuis du code à faibles privilèges ou WPAD LPAC vers SYSTEM.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85884
Ce dépôt contient du matériel de recherche et de preuve de concept concernant un problème de frontière de privilèges Windows impliquant le service Windows Health and Optimized Experiences (whesvc) et le moteur Windows Diagnostics Lua.
Du code s'exécutant avec la capacité de diagnostics concernée peut émettre un événement de workflow ETW de confiance contenant un chemin de module Lua contrôlé par l'attaquant. Le service LocalSystem consomme cet événement et exécute le module via WinDiag sans authentifier suffisamment le producteur ni restreindre le module à un emplacement de confiance.
La transition complète démontrée est la suivante :
low-privileged or WPAD LPAC code
-> Microsoft.Windows.Diagnostics.Lua ETW event
-> LocalSystem whesvc workflow
-> attacker-controlled Lua module
-> SYSTEM process canary
Le problème a été reproduit sur les versions exactes de Windows 11 x64 documentées dans les rapports inclus, notamment les versions 26200.8457 et 29617.1000.
Invoke-WhesvcToSystem.ps1 est la démonstration la plus simple pour un utilisateur local. Elle ne nécessite ni DLL, ni compilateur, ni charge utile externe, et n'intègre ni ne télécharge rien. Le rappel Lua privilégié exécute la commande intégrée whoami.exe /user via cmd.exe et redirige sa sortie vers un fichier canari.
Depuis une session PowerShell standard, non administrateur :
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1
Une exécution réussie produit une sortie de whoami.exe /user contenant :
nt authority\system S-1-5-18
Le canari est écrit dans :
%LOCALAPPDATA%\WhesvcL2S\system-canary.txt
Le workflow impose un intervalle de traçage minimal, de sorte que la démonstration prend normalement au moins 35 secondes.
Supprimez le canari et tout module Lua temporaire correspondant avec :
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1 -Cleanup
Ce matériel est fourni à des fins de recherche défensive, de validation de correctifs et de tests de sécurité autorisés. Les utilisateurs sont responsables du respect des lois applicables et de la prévention de toute perturbation des systèmes de production.