CVE_2026_40369 Exploit

poc et exp pour CVE_2026_40369, liés à mon analyse, utilisent cmake.

Code de débogage, fichiers poc et exp pour la reproduction de CVE_2026_40369, écrits avec cmake. Il suffit toujours d'utiliser les commandes cmake habituelles pour compiler.

Articles d'analyse :

• Compte WeChat public : https://mp.weixin.qq.com/s/jUEW6MPkWhmxt_8w2Oszhg
• Mon blog : https://joe1sn.eu.org/2026/05/30/CVE-2026-40369

Peut-être que notre compte WeChat public < 不止Sec > contient d'autres contenus qui vous intéresseront

Attention

【2026-7-23】 : tentative de contournement de kASLR avec l'outil prefectch, mais il y a toujours une forte probabilité d'écran bleu, et en pratique, l'exploitation est quasiment impossible

• L'exploitation nécessite de divulguer à l'avance l'adresse de base de ntoskrl.exe, ce qui est difficile sur 25H2. C'est pourquoi mon exp / l'exp original doit être configuré manuellement
• Cette technique ne peut être déclenchée qu'une seule fois, car il s'agit d'un auto-incrément sans valeur fixe et avec perte ; par la suite, il est possible que l'adresse de CmpLayerVersions ne soit plus trouvée. Vous pouvez également utiliser un autre emplacement d'informations de version pour construire le fake chunk victime
• La technique d'injection de threads à distance est utilisée et pourrait ne pas passer la détection des antivirus, ce qui réduit considérablement la surface d'attaque
• Dans mon exp, vous devrez peut-être modifier les offsets selon les versions du système ; ils se trouvent dans include\common\gadget.hpp
• Mon exp ne restaure pas la valeur de CmpLayerVersionCount, même si je pense que cela n'a pas d'importance