CVE-2025-60710

Ceci est un PoC pour la vulnérabilité d'élévation de privilèges locaux dans la tâche planifiée \Microsoft\Windows\WindowsAI\Recall\PolicyConfiguration.

Lorsque cette tâche planifiée est démarrée, le processus taskhostw.exe va tenter d'ouvrir le répertoire C:\Users\%username%\AppData\Local\CoreAIPlatform.00\UKP et rechercher des répertoires à l'aide du filtre suivant : {????????-????-????-????-????????????}. Si ce répertoire est trouvé, il sera supprimé sans vérifier les liens symboliques.

Comme un utilisateur à faibles privilèges peut, par défaut, créer des répertoires dans son propre dossier %LOCALAPPDATA%, cela conduit à la suppression arbitraire de dossiers dans le contexte de l'utilisateur NT AUTHORITY\SYSTEM.

La tâche planifiée est configurée avec plusieurs déclencheurs qui peuvent être utilisés pour démarrer la tâche planifiée.

  <Triggers>
    <WnfStateChangeTrigger id="RecallPolicyCheckUpdateTrigger">
      <Enabled>true</Enabled>
      <StateName>7508BCA32C079E41</StateName>
    </WnfStateChangeTrigger>
    <WnfStateChangeTrigger id="AADStatusChangeTrigger">
      <Enabled>true</Enabled>
      <StateName>7508BCA32C0F8241</StateName>
    </WnfStateChangeTrigger>
    <WnfStateChangeTrigger id="DisableAIDataAnalysisTrigger">
      <Enabled>true</Enabled>
      <StateName>7528BCA32C079E41</StateName>
    </WnfStateChangeTrigger>
    <WnfStateChangeTrigger id="UserLoginTrigger">
      <Enabled>true</Enabled>
      <StateName>7510BCA338038113</StateName>
    </WnfStateChangeTrigger>
    <SessionStateChangeTrigger id="SessionUnlockTrigger">
      <Enabled>true</Enabled>
      <StateChange>SessionUnlock</StateChange>
    </SessionStateChangeTrigger>
  </Triggers>

Ce PoC utilise le WnfStateChangeTrigger RecallPolicyCheckUpdateTrigger pour démarrer la tâche planifiée.

PoC