wh04m1001/cve-2025-60710Exploit de preuve de concept pour une vulnérabilité d'élévation de privilèges locale dans la tâche planifiée Windows Recall, démontrant la suppression arbitraire de dossiers en tant que SYSTEM via un lien symbolique.
Il s'agit d'une preuve de concept (PoC) pour une vulnérabilité d'élévation de privilèges locaux dans la tâche planifiée \Microsoft\Windows\WindowsAI\Recall\PolicyConfiguration.
Lorsque cette tâche planifiée est démarrée, le processus taskhostw.exe tente d'ouvrir le répertoire C:\Users\%username%\AppData\Local\CoreAIPlatform.00\UKP et recherche des répertoires en utilisant le filtre suivant : {????????-????-????-????-????????????}. Si ce répertoire est trouvé, il est supprimé sans vérifier les liens symboliques.
Un utilisateur à faibles privilèges peut par défaut créer des répertoires dans son propre dossier %LOCALAPPDATA%, ce qui conduit à une suppression arbitraire de dossiers dans le contexte de l'utilisateur NT AUTHORITY\SYSTEM.
La tâche planifiée est configurée avec plusieurs déclencheurs qui peuvent être utilisés pour la démarrer.
<Triggers>
<WnfStateChangeTrigger id="RecallPolicyCheckUpdateTrigger">
<Enabled>true</Enabled>
<StateName>7508BCA32C079E41</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="AADStatusChangeTrigger">
<Enabled>true</Enabled>
<StateName>7508BCA32C0F8241</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="DisableAIDataAnalysisTrigger">
<Enabled>true</Enabled>
<StateName>7528BCA32C079E41</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="UserLoginTrigger">
<Enabled>true</Enabled>
<StateName>7510BCA338038113</StateName>
</WnfStateChangeTrigger>
<SessionStateChangeTrigger id="SessionUnlockTrigger">
<Enabled>true</Enabled>
<StateChange>SessionUnlock</StateChange>
</SessionStateChangeTrigger>
</Triggers>
Cette PoC utilise le WnfStateChangeTrigger RecallPolicyCheckUpdateTrigger pour démarrer la tâche planifiée.
