CVE-2023-36874 Preuve de concept (PoC)

Une implémentation de recherche éducative et défensive de la vulnérabilité CVE-2023-36874, démontrant une faille d'élévation de privilèges locale (LPE) au sein du composant Windows Error Reporting (WER).

⚠️ Avertissement

Ce dépôt et le code source fourni sont destinés strictement à des fins éducatives, de recherche en sécurité et d'audit défensif. N'exécutez pas ce code sur des systèmes de production ou des environnements sans autorisation explicite. L'auteur décline toute responsabilité en cas d'utilisation abusive, de dommages ou d'activités illégales menées avec ce matériel.

---

🔍 Présentation de la vulnérabilité

CVE-2023-36874 est une vulnérabilité logique d'élévation de privilèges dans Windows Error Reporting (WER).

Un attaquant disposant de faibles privilèges peut exploiter cette faille en manipulant l'espace de noms du gestionnaire d'objets Windows. En créant un lien symbolique personnalisé (\??\C:) dans le répertoire de session locale, l'attaquant peut rediriger les demandes d'accès aux fichiers destinées au lecteur racine.

Lorsqu'un service hautement privilégié (NT AUTHORITY\SYSTEM) déclenche des tâches de rapport d'erreurs à l'aide d'interfaces COM spécifiques et non documentées (telles que IErcLuaSupport), il exécute de manière inappropriée des fichiers depuis le chemin redirigé. Cela permet à un binaire contrôlé par l'utilisateur (wermgr.exe) d'être exécuté avec les privilèges SYSTEM.

🛠️ Structure du projet

• main.cpp — Le code source C++ principal chargé de la configuration de l'environnement, de la création du lien symbolique du gestionnaire d'objets et de l'interaction COM.
• exploit.exe (Espace réservé) — Le binaire de charge utile cible qui sera lancé par le service privilégié.

---

🚀 Compilation du projet

Prérequis

• Visual Studio 2022 (ou version supérieure) avec la charge de travail Développement desktop en C++ installée.
• Système d'exploitation cible : Windows 10/11 ou Windows Server non corrigés (antérieurs aux mises à jour de sécurité de juillet 2023).

Configuration dans Visual Studio

1. Ouvrez Visual Studio et créez un nouveau Projet vide C++.
2. Ajoutez main.cpp aux fichiers sources.
3. Crucial : passez la configuration de compilation de x86 (Win32) à x64. L'exploit repose sur la résolution des chemins système 64 bits.
4. Générez la solution (Ctrl + Shift + B).

---

📊 Flux technique et comportement d'exécution

Lorsqu'il est exécuté, le programme effectue les opérations suivantes en arrière-plan :

1. Initialisation de l'environnement : crée des dossiers de rapport factices dans C:\ProgramData et prépare une structure de répertoires miroir dans C:\Users\Public\test\Windows\System32.
2. Détournement du gestionnaire d'objets : appelle NtCreateSymbolicLinkObject pour rediriger les requêtes du lecteur de session locale C: vers le dossier personnalisé Public\test.
3. Activation COM : se connecte au serveur COM hors processus à l'aide de CLSID_ERCLuaSupport.
4. Déclenchement de l'exécution : force le service privilégié à charger et soumettre le rapport factice via SubmitReport(). Le système tente de lancer C:\Windows\System32\wermgr.exe, mais est redirigé vers la charge utile.

Sortie

Le binaire s'exécute silencieusement en arrière-plan.

• En cas de succès, le code de sortie est 0 et votre charge utile s'exécute dans le contexte de NT AUTHORITY\SYSTEM.
• En cas d'échec (par exemple, en raison de prérequis manquants ou d'un correctif déjà appliqué), il se termine avec -1.

---

🛡️ Remédiation et correctifs

Ce problème a été officiellement corrigé par Microsoft lors du cycle de mises à jour du Patch Tuesday de juillet 2023.

Pour atténuer cette vulnérabilité et les vulnérabilités similaires :

• Assurez-vous que votre système d'exploitation est à jour avec les dernières mises à jour de qualité cumulatives.
• Assurez-vous d'une implémentation correcte de la validation des chemins et de l'assainissement des jetons d'emprunt d'identité au sein des services système personnalisés.