CVE-2026-49176 SYSTEM Shell PoC

Windows WalletService में जुलाई 2026 में ठीक की गई भेद्यता के लिए स्थानीय विशेषाधिकार-उन्नयन प्रमाण-अवधारणा (proof of concept)।

तकनीकी लेख: CVE-2026-49176 Exploit Development: WalletService to SYSTEM।

एक सामान्य उपयोगकर्ता एक स्थायी कॉलबैक वाला Wallet ESE डेटाबेस बनाता है और अपने Documents known folder को उसी ओर रीडायरेक्ट करता है। भेद्य WalletService डेटाबेस को LocalSystem के रूप में स्थायी कॉलबैक सक्षम करके खोलता है, जिससे ESE द्वारा दी गई DLL लोड हो जाती है। पेलोड सक्रिय डेस्कटॉप सत्र में SYSTEM के रूप में एक कमांड प्रॉम्प्ट शुरू करता है।

चलाएँ

किसी भेद्य Windows 11 सिस्टम पर, एक गैर-एलिवेटेड PowerShell खोलें और चलाएँ:

powershell.exe -ExecutionPolicy Bypass -File .\trigger.ps1

वैकल्पिक रूप से, run.cmd पर डबल-क्लिक करें। एक शेल खुलना चाहिए और nt authority\system प्रिंट करना चाहिए।

शामिल बाइनरीज़ को फिर से बनाने के लिए, Visual Studio C++ build tools इंस्टॉल करें और चलाएँ:

powershell.exe -ExecutionPolicy Bypass -File .\build.ps1

Windows 11 25H2 build 26200.8737 पर परीक्षण किया गया।

मूल कारण

WalletService कॉलर का प्रतिरूपण करते हुए FOLDERID_Documents को रिज़ॉल्व करता है, फिर <Documents>\Wallet\wallet.db खोलने से पहले LocalSystem पर वापस लौट आता है। यह कॉलर द्वारा बनाए गए डेटाबेस को स्वीकार करता है और ESE persisted callbacks सक्षम करता है। Cards तालिका खोलने पर डेटाबेस स्कीमा में संग्रहीत कॉलबैक पथ रिज़ॉल्व होता है और निर्दिष्ट DLL को SYSTEM के रूप में लोड किया जाता है।