Analyse de la vulnérabilité CVE-2025-62215

Projet de recherche sur la vulnérabilité Windows Kernel Race Condition / Double-Free Privilege Escalation.

Aperçu

Structure du projet

.
├── README.md                           # This file
├── CLAUDE.md                           # Project context for Claude Code
├── report.md                           # Comprehensive vulnerability report
├── analysis.md                         # Static analysis of public (fake) PoC
├── TODO.md                             # Next steps and research plan
├── poc/
│   ├── exploit.h                       # Common definitions & undocumented types
│   ├── exploit.cpp                     # PoC skeleton (correct APIs)
│   └── Makefile                        # MSVC (nmake) build config
└── docs/
    ├── binary-acquisition.md           # How to obtain ntoskrnl.exe binaries
    ├── patch-analysis-guide.md         # IDA Pro + BinDiff analysis guide
    ├── detection-rules.md              # Sigma / Sysmon / ETW detection rules
    └── test-environment.md             # VM + WinDbg setup guide

Résultats clés

Phase 1 : Recherche sur la vulnérabilité

• CVE-2025-62215 est une véritable vulnérabilité corrigée lors du Patch Tuesday de novembre 2025
• Affecte toutes les versions de Windows prises en charge (10, 11, Server 2019/2022/2025)
• Activement exploitée en tant que zero-day, enregistrée dans le CISA KEV

Phase 1 : Analyse du PoC public

• PoC public (abrewer251/CVE-2025-62215_Windows_Kernel_PE) — factice/non fonctionnel
  • Utilise une API fictive (NtCreateKernelObject)
  • VirtualAlloc en mode utilisateur ne peut pas faire de spray sur le pool du noyau
  • Aucun mécanisme réel d'élévation de privilèges
  • Aucun élément malware/backdoor détecté

Phase 2 : Développement du PoC (en cours)

• Squelette du PoC implémenté avec les API noyau Windows correctes
• Composants fonctionnels : vérification de version, détection de VM, résolution NtDll, grooming du pool, fuite EPROCESS
• Bloqué : le déclenchement de la condition de course nécessite une analyse binaire (IDA Pro + BinDiff)

Prochaines étapes

1. Obtenir le ntoskrnl.exe pré/post-correctif (voir docs/binary-acquisition.md)
2. Utiliser BinDiff pour identifier la fonction corrigée
3. Terminer la phase 3 (déclenchement de la vulnérabilité) dans poc/exploit.cpp
4. Tester dans un environnement VM isolé (voir docs/test-environment.md)

Compilation (Windows)

# From VS Developer Command Prompt
cd poc
nmake
exploit.exe --check    # System check only

Avertissement

Ce projet est destiné uniquement à des fins éducatives et de recherche en sécurité autorisée.