CVE-2026-50343: EoP de StaticPluginMap d'InstallService (Utilisateur standard vers SYSTEM)

J'ai découvert et signalé indépendamment la vulnérabilité désormais suivie sous le nom de CVE-2026-50343. MSRC a confirmé que ma soumission était un doublon d'un rapport antérieur d'un autre chercheur. Un utilisateur interactif standard peut écrire un état de plugin contrôlé par l'attaquant sous HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State. Le service d'installation du Microsoft Store s'exécute en tant que NT AUTHORITY\SYSTEM, lit PlugInList et StaticPluginMap, et charge la DLL mappée après un déclencheur public AppInstallManager.SearchForAllUpdatesAsync(). Le résultat est une exécution de code locale de l'utilisateur standard vers SYSTEM.

📹 Vidéo de démonstration d'un shell SYSTEM interactif

TL;DR

InstallService fait confiance aux noms de plugins et aux chemins de DLL provenant de l'état HKLM qu'un utilisateur interactif standard peut écrire. Un utilisateur à faibles privilèges crée un nouveau nom de plugin, le pointe vers une DLL contrôlée par l'attaquant et appelle l'API WinRT de contrôle d'installation du Store. InstallService charge ensuite cette DLL dans C:\Windows\System32\svchost.exe en tant que NT AUTHORITY\SYSTEM.

La reproduction plus forte avec une VM fraîche dans ce dépôt ouvre un cmd.exe SYSTEM visible dans la session de bureau active. Dans la vidéo jointe, desktop-ud6iv88\user1 démarre en tant qu'utilisateur standard et le shell généré indique :

nt authority\system S-1-5-18

Vulnérabilité

L'état vulnérable se trouve sous :

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\PlugInList
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\StaticPluginMap

Sur les builds testés, un utilisateur interactif standard peut créer les sous-clés manquantes ou définir des valeurs en dessous. InstallService consomme ensuite ces valeurs en tant que configuration de plugin tout en s'exécutant en tant que SYSTEM.

La chaîne d'exploitation principale :

1. L'utilisateur standard place une DLL contrôlée par l'attaquant dans un emplacement lisible.
2. L'utilisateur standard écrit PlugInList\<fresh plugin name> = 1.
3. L'utilisateur standard écrit StaticPluginMap\<fresh plugin name> = <attacker DLL>.
4. L'utilisateur standard appelle AppInstallManager.SearchForAllUpdatesAsync().
5. InstallService charge la DLL de l'attaquant en tant que SYSTEM.
6. Le code de la DLL s'exécute en tant que NT AUTHORITY\SYSTEM.

Reproduction d'un shell SYSTEM interactif

Utilisez la reproduction plus forte :

interactive-system-shell-repro/

Depuis un PowerShell d'utilisateur standard :

cd interactive-system-shell-repro
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Cleanup-InstallServiceInteractiveShell.ps1
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Run-InstallServiceInteractiveShell.ps1

Lorsque le shell SYSTEM s'ouvre :

whoami /user
whoami /priv

Chaque exécution écrit des preuves sous :

C:\Users\Public\InstallServiceEopProof\<timestamp>

Reproduction minimale originale

Les fichiers originaux de la soumission MSRC sont toujours présents pour référence :

Utilisation :

powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -PayloadDll "C:\Users\Public\isp_exploit.dll"
powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -Cleanup

Chronologie

Ressources

• Avis Microsoft : CVE-2026-50343
• Reproduction forte : interactive-system-shell-repro/
• Vidéo de démonstration : interactive-system-shell-repro/evidence/installservice-staticplugin.mp4
• PoC original : exploit.ps1
• Source canary originale : canary.c

Avertissement : Ce code d'exploitation est fourni à des fins de recherche en sécurité et à des fins éducatives. Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas l'autorisation explicite de tester. L'auteur n'est pas responsable d'une mauvaise utilisation.

CVE-2026-50343 - signalé indépendamment à MSRC sous le cas 120271 / VULN-192719 et confirmé comme doublon d'une soumission antérieure d'un chercheur.

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online