CVE-2026-50343: InstallService StaticPluginMap EoP (सामान्य उपयोगकर्ता से SYSTEM)

मैंने स्वतंत्र रूप से CVE-2026-50343 के रूप में ट्रैक की जा रही इस भेद्यता की खोज की और रिपोर्ट किया। MSRC ने मेरी सबमिशन को किसी अन्य शोधकर्ता की पहले की रिपोर्ट की डुप्लिकेट के रूप में पुष्टि की। एक सामान्य इंटरैक्टिव उपयोगकर्ता HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State के अंतर्गत आक्रमणकारी-नियंत्रित प्लगइन स्थिति लिख सकता है। Microsoft Store Install Service NT AUTHORITY\SYSTEM के रूप में चलता है, PlugInList और StaticPluginMap पढ़ता है, और एक सार्वजनिक AppInstallManager.SearchForAllUpdatesAsync() ट्रिगर के बाद मैप की गई DLL को लोड करता है। परिणाम स्थानीय सामान्य-उपयोगकर्ता से SYSTEM कोड निष्पादन है।

📹 इंटरैक्टिव SYSTEM शेल डेमो वीडियो

TL;DR

InstallService HKLM स्थिति से प्लगइन नामों और DLL पथों पर भरोसा करता है जिसे एक सामान्य इंटरैक्टिव उपयोगकर्ता लिख सकता है। एक निम्न-विशेषाधिकार प्राप्त उपयोगकर्ता एक नया प्लगइन नाम बनाता है, इसे एक आक्रमणकारी-नियंत्रित DLL पर इंगित करता है, और Store इंस्टॉल-नियंत्रण WinRT API को कॉल करता है। InstallService फिर उस DLL को C:\Windows\System32\svchost.exe के अंदर NT AUTHORITY\SYSTEM के रूप में लोड करता है।

इस रिपॉजिटरी में मजबूत फ्रेश-VM रिप्रो सक्रिय डेस्कटॉप सत्र में एक दृश्य SYSTEM cmd.exe खोलता है। संलग्न वीडियो में, desktop-ud6iv88\user1 एक सामान्य उपयोगकर्ता के रूप में शुरू होता है और उत्पन्न शेल रिपोर्ट करता है:

nt authority\system S-1-5-18

भेद्यता

भेद्य स्थिति इस प्रकार स्थित है:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\PlugInList
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\StaticPluginMap

परीक्षण किए गए बिल्ड पर, एक सामान्य इंटरैक्टिव उपयोगकर्ता लापता उपकुंजियां बना सकता है या उनके नीचे मान सेट कर सकता है। InstallService बाद में उन मानों को SYSTEM के रूप में चलते हुए प्लगइन कॉन्फ़िगरेशन के रूप में उपभोग करता है।

मुख्य शोषण श्रृंखला:

1. सामान्य उपयोगकर्ता एक आक्रमणकारी-नियंत्रित DLL को पढ़ने योग्य स्थान पर रखता है।
2. सामान्य उपयोगकर्ता PlugInList\<नया प्लगइन नाम> = 1 लिखता है।
3. सामान्य उपयोगकर्ता StaticPluginMap\<नया प्लगइन नाम> = <आक्रमणकारी DLL> लिखता है।
4. सामान्य उपयोगकर्ता AppInstallManager.SearchForAllUpdatesAsync() को कॉल करता है।
5. InstallService आक्रमणकारी DLL को SYSTEM के रूप में लोड करता है।
6. DLL कोड NT AUTHORITY\SYSTEM के रूप में निष्पादित होता है।

इंटरैक्टिव SYSTEM शेल रिप्रो

मजबूत रिप्रो का उपयोग करें:

interactive-system-shell-repro/

सामान्य-उपयोगकर्ता PowerShell से:

cd interactive-system-shell-repro
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Cleanup-InstallServiceInteractiveShell.ps1
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Run-InstallServiceInteractiveShell.ps1

जब SYSTEM शेल खुलता है:

whoami /user
whoami /priv

प्रत्येक रन साक्ष्य लिखता है:

C:\Users\Public\InstallServiceEopProof\<timestamp>

मूल न्यूनतम रिप्रो

मूल MSRC सबमिशन फ़ाइलें अभी भी संदर्भ के लिए मौजूद हैं:

उपयोग:

powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -PayloadDll "C:\Users\Public\isp_exploit.dll"
powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -Cleanup

समयरेखा

संसाधन

• Microsoft सलाह: CVE-2026-50343
• मजबूत रिप्रो: interactive-system-shell-repro/
• डेमो वीडियो: interactive-system-shell-repro/evidence/installservice-staticplugin.mp4
• मूल PoC: exploit.ps1
• मूल कैनरी स्रोत: canary.c

अस्वीकरण: यह शोषण कोड सुरक्षा अनुसंधान और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। इसका उपयोग उन प्रणालियों के विरुद्ध न करें जिनके आप मालिक नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट प्राधिकरण नहीं है। लेखक दुरुपयोग के लिए जिम्मेदार नहीं है।

CVE-2026-50343 - MSRC को केस 120271 / VULN-192719 के रूप में स्वतंत्र रूप से रिपोर्ट किया गया और पिछले शोधकर्ता सबमिशन की डुप्लिकेट के रूप में पुष्टि की गई।

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online