VirtualLockSensorLPE

Description

Preuve de concept (PoC) d'élévation de privilèges locale pour CVE-2025-0886 ciblant Elliptic Virtual Lock Sensor version 3.1.60531.2 sous Windows, installé par défaut sur certains modèles d'ordinateurs portables Lenovo. Permet l'exécution d'une charge utile dans le contexte de SYSTEM depuis un contexte utilisateur normal en modifiant les permissions d'une clé de registre.

Avis officiel de Lenovo : https://support.lenovo.com/us/en/product_security/LEN-182738

Veuillez lire les Notes avant de l'utiliser.

Comment compiler

1. Clonez le dépôt avec git clone --recursive.
2. Compilez la solution VirtualLockSensorLPE.

Comment utiliser

VirtualLockSensorLPE.exe COMMANDE

Exemple

VirtualLockSensorLPE.exe "cmd /c echo test > C:\Windows\System32\poc.txt"

Détails techniques

Les versions vulnérables d'Elliptic Virtual Lock Sensor utilisent les clés de registre suivantes où Everyone dispose du Contrôle total :

• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\OnBattery
• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn

Les utilisateurs normaux peuvent lancer une réinstallation du logiciel. Si une sous-clé avec "container inherit" activé est créée sous l'une des clés de registre listées ci-dessus, et qu'un lien de registre est ensuite créé sous cette nouvelle clé, Everyone obtiendra le Contrôle total sur la cible de ce lien pendant la réinstallation.

La PoC exploite la vulnérabilité en suivant les étapes ci-dessous :

1. Créer une sous-clé (nommée a) sous HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn où Everyone a le Contrôle total avec "container inherit" (drapeau « CI ») activé.
2. Créer un lien de registre (nommé b) sous la sous-clé nouvellement créée (a) pointant vers HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate.
3. Forcer une réinstallation d'Elliptic Virtual Lock Sensor.
4. Étant donné que Everyone a désormais le Contrôle total sur la clé edgeupdate, la valeur ImagePath de la clé peut être modifiée pour pointer vers une charge utile.
5. Démarrer le service edgeupdate (Microsoft Edge Update Service) pour exécuter la charge utile dans le contexte de .

Notes

• L'exploit ne tente pas de réinitialiser les permissions sur la clé de registre HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate, vous devrez donc le faire manuellement (et n'oubliez pas de le faire si vous testez cela sur un système de production).
• Cible spécifiquement la version 3.1.60531.2. Le code de l'exploit pourrait nécessiter quelques modifications pour cibler d'autres versions vulnérables (le code produit passé à MsiReinstallProductW devra probablement être changé pour lancer la réinstallation).
• Il existe différentes façons de transformer une écriture arbitraire dans une clé de registre en exécution de code privilégié. Cette PoC y parvient en modifiant la configuration d'un service existant (edgeupdate) pour pointer vers une charge utile arbitraire. Cette technique présente quelques limitations :
  • Si le service edgeupdate est déjà en cours d'exécution lorsque l'exploit est exécuté, la charge utile ne sera pas exécutée. Attendez une minute ou deux et relancez l'exploit.
  • Si la charge utile n'est pas un binaire de service (par exemple cmd), Windows en arrêtera l'exécution après un court moment.