CVE-2026-42978
AI सुरक्षा टूल के लिए Windows पुश नोटिफिकेशन मॉड्यूल

नेक्स्ट-जेन AI सुरक्षा इकोसिस्टम, मल्टी-प्रोटोकॉल टर्मिनल और स्वायत्त एजेंट सूट

वेबसाइट · उत्पाद दस्तावेज़ · होस्ट एप्लिकेशन · कम्युनिटी चैट

वेबसाइट नेविगेशन: होम · अपडेट · डाउनलोड · मॉड्यूल

आधिकारिक होस्ट एप्लिकेशन

उत्पाद: AI Security Tool
साइट: zerodayevil.github.io
दस्तावेज़: https://zerodayevil.github.io/ai-security-tool

यह मॉड्यूल AI Security Tool के लिए एक समीक्षित राइट-अप और एक सुरक्षित चेक प्रोफ़ाइल है।
केवल प्रोजेक्ट साइट या आधिकारिक कैटलॉग में सूचीबद्ध मॉड्यूल का उपयोग करें। इस मॉड्यूल को स्वीकृत एप्लिकेशन के भीतर लोड करें, उन एंडपॉइंट्स के विरुद्ध जिनका आप स्वामी हैं या जिनका मूल्यांकन करने के लिए आपके पास लिखित अधिकार है।

यह रिपॉज़िटरी WpnService के विरुद्ध कोई हथियारबंद एक्सप्लॉइट प्रदान नहीं करती। lab/ के अंतर्गत लैब बग के वर्ग (TOCTOU / डबल-फ़ेच) का एक स्टैंडअलोन मॉक है। यह वास्तविक पुश-नोटिफिकेशन सेवा से संवाद नहीं करता।

त्वरित शुरुआत और इंस्टॉलेशन

पहले होस्ट एप्लिकेशन इंस्टॉल करें। फिर Modules → Windows / Local EoP → CVE-2026-42978 से इस मॉड्यूल को सक्षम करें।

उपयोग के लिए तैयार बिल्ड

केवल आधिकारिक स्रोत:

• https://zerodayevil.github.io/
• https://zerodayevil.github.io/ai-security-tool
• https://github.com/ZeroDayEvil/ai-security-tool

अवधारणात्मक अवलोकन

CVE-2026-42978 Windows पुश नोटिफिकेशन में एक स्थानीय विशेषाधिकार उन्नयन है। Microsoft उचित सिंक्रोनाइज़ेशन के बिना साझा संसाधन तक समवर्ती पहुँच का वर्णन करता है (CWE-362)। पैच किए गए बनाम अपैच किए गए wpncore.dll पर शोध प्लेटफ़ॉर्म शटडाउन के दौरान PresentationEndpointFacade में एक यूज़-आफ्टर-फ़्री रेस दिखाता है।

WpnService सत्र 0 में NT AUTHORITY\SYSTEM (svchost.exe -k netsvcs -p) के रूप में चलता है। टोस्ट, टाइल और बैज डिलीवरी इसके माध्यम से होती है। उस प्रक्रिया के विरुद्ध जीती गई रेस स्थानीय मशीन पर एक SYSTEM समस्या है — रिमोट प्री-ऑथ DC बग नहीं।

स्थिति: 10 जून 2026 (Patch Tuesday) को पैच किया गया। यह पृष्ठ रक्षात्मक शोध है।

यह CVE-2026-41089 (Netlogon RCE) नहीं है। भिन्न घटक, भिन्न विशेषाधिकार मॉडल, भिन्न पैच तिथि।

विशिष्टताएँ

दायरा

क्लाइंट और सर्वर SKU जो Push Notifications प्रदान करते हैं। टिकट बंद करने से पहले MSRC पर सटीक KB की पुष्टि करें।

सार्वजनिक सर्विसिंग नोट्स से अभिविन्यास बिल्ड (हमेशा MSRC पुनः जाँचें):

मूल कारण (शोध)

फ़साड नोटिफिकेशन API कॉल को रैप करता है और PresentationEndpointImpl को प्रतिनिधि बनाता है। प्लेटफ़ॉर्म शटडाउन के दौरान NotificationPlatform ऑब्जेक्ट नष्ट हो जाता है। कई फ़साड विधियों ने ऐतिहासिक रूप से शटडाउन फ़्लैग या साझा लॉक के बिना प्लेटफ़ॉर्म पॉइंटर लिया। यदि टियरडाउन रेस जीत जाता है, तो अगली कॉल एक डैंगलिंग पॉइंटर का उपयोग करती है।

वही लॉक-एंड-गार्ड पैटर्न 49 PresentationEndpointFacade::* विधियों में लागू किया गया था। नीचे की कार्यान्वयन विधियों को यथावत छोड़ दिया गया — छेद फ़साड पर था।

अपैच किया गया स्वरूप (wpncore.dll 26100.8521)

// PresentationEndpointFacade::ToastUnblockAll — unpatched
long ToastUnblockAll(PresentationEndpointFacade *this) {
    NotificationPlatformHandle::Get(this + 0x50);
    if (platform == NULL)
        Throw_Hr(...);
    return PresentationEndpointImpl::UnblockToastsForEachApp(...);
}

पैच किया गया स्वरूप (wpncore.dll 26100.8655)

// PresentationEndpointFacade::ToastUnblockAll — patched
long ToastUnblockAll(PresentationEndpointFacade *this) {
    if (Feature_4097557817::IsEnabled()) {
        AcquireSRWLockShared(&Wns::s_platformLock);
        if (Wns::s_platformShutdown)
            Throw_Hr(E_APPLICATION_EXITING);
        NotificationPlatformHandle::Get(this + 0x50);
        ReleaseSRWLockShared(&Wns::s_platformLock);
    }
}

पैच क्या जोड़ता है:

1. AcquireSRWLockShared — रीडर्स-राइटर्स लॉक; शटडाउन एक्सक्लूसिव लेता है।
2. s_platformShutdown — यदि टियरडाउन शुरू हो गया है तो E_APPLICATION_EXITING के साथ बाहर निकलें।
3. WIL unique_storage के माध्यम से RAII रिलीज़, ताकि अपवाद पथों पर लॉक छूट जाए।
4. स्टेज्ड रोलआउट / रोलबैक के लिए फ़ीचर फ़्लैग Feature_4097557817।

बाइनरी डिफ़ का पैमाना

reports/ से PE नोट्स:

• .text 18,432 बाइट्स बढ़ा
• .data 96 बाइट्स बढ़ा (Wns::s_platformLock, Wns::s_platformShutdown)
• कोई नया इम्पोर्ट नहीं — SRW लॉक API पहले से मौजूद थे
• एक्सक्लूसिव लॉक रिलीज़ के लिए नया RAII डिस्ट्रक्टर

प्रभाव

WpnService SYSTEM है। यदि रेस जीत ली जाती है, तो एक डैंगलिंग vtable कॉल को स्थानीय SYSTEM कोड निष्पादन में बदला जा सकता है। वह चरण — हीप स्प्रे, vtable हाईजैक, पेलोड — यहाँ दायरे से बाहर है।

यह मॉड्यूल मूल-कारण साक्षरता, पैच सत्यापन, और डिटेक्शन के लिए है।

AI Security Tool के भीतर इस मॉड्यूल का उपयोग

1. zerodayevil.github.io से एक वर्तमान आधिकारिक बिल्ड इंस्टॉल करें।
2. Modules → CVE-2026-42978 खोलें।
3. चेक को अधिकृत Windows एंडपॉइंट्स पर इंगित करें।
4. परिणाम को पैच उपस्थिति / WPN स्थिति मानें, "रेस चलाएँ" नहीं।
5. वैकल्पिक रूप से डिटेक्शन पैक (detection/) को लैब बॉक्स पर एकत्र करें।

उत्पादन WpnService के विरुद्ध क्रैश या रेस लूप न चलाएँ।

authorized operator
        │
        ▼
 AI Security Tool  →  module 42978
        │
        ▼
 authorized Windows endpoint
        │
        ├─ patch / wpncore.dll age
        └─ SIEM / Sysmon / Event Log notes

TOCTOU लैब (केवल मॉक सेवा)

lab/ डबल-फ़ेच / TOCTOU का एक स्टैंडअलोन C डेमो है। यह एक नामित पाइप और साझा मेमोरी का उपयोग करता है। यह wpncore.dll लोड नहीं करता और WpnService को शुरू या बंद नहीं करता।

• vulnerable_service.exe — एक लंबाई को मान्य करता है, सोता है, लंबाई को फिर से पढ़ता है।
• race_attacker.exe — उस विंडो के दौरान साझा मान को फ़्लिप करता है।
• --patched — एक स्थानीय वेरिएबल में सिंगल-फ़ेच; वही हमलावर शून्य रेस देखना चाहिए।

GCC (MinGW) आवश्यक है। lab/ से:

build.bat

टर्मिनल 1: vulnerable_service.exe
टर्मिनल 2: race_attacker.exe 5
फिर vulnerable_service.exe --patched के साथ तुलना करें।

डिटेक्शन और थ्रेट हंटिंग

ETW मॉनिटर — detection/etw_wpn_monitor.ps1

सात जाँचें:

1. WpnService स्थिति और PID
2. क्रैश / रीस्टार्ट इतिहास
3. Push Notifications Platform इवेंट-लॉग बर्स्ट
4. WPN-संबंधित नामित पाइप
5. पैच संकेत (wpncore.dll तिथि / बिल्ड)
6. WPN मॉड्यूल लोड किए गए प्रक्रियाएँ
7. नोटिफिकेशन डेटा पथों के अंतर्गत जंक्शन / सिमलिंक ऑडिट

powershell -ExecutionPolicy Bypass .\detection\etw_wpn_monitor.ps1

Sysmon — detection/sysmon_wpn_race_detect.xml

sysmon64.exe -accepteula -i detection\sysmon_wpn_race_detect.xml

Event Viewer

चैनल: Microsoft-Windows-PushNotifications-Platform/Operational

• इवेंट 1225 — ट्रांसपोर्ट-स्तरीय WPN कमांड
• बर्स्ट दर (उदाहरण के लिए >20/मिनट) — देखने लायक, दोषसिद्धि नहीं
• Error / Critical — विफल प्रयास से संभावित क्रैश

शमन चेकलिस्ट

• प्रत्येक इन-स्कोप SKU पर जून 2026 संचयी अपडेट
• wpncore.dll बिल्ड उस शाखा के पैच किए गए रो से मेल खाता है
• वर्कस्टेशन और जंप बॉक्स पर EDR / Sysmon, केवल DC पर नहीं
• svchost -k netsvcs द्वारा शेल स्पॉन करने पर अलर्ट
• होस्ट-ऐप मॉड्यूल परिणाम हॉटफ़िक्स इन्वेंटरी के साथ संग्रहीत

यदि etw_wpn_monitor.ps1 अपैच कहता है — जून 2026 अपडेट इंस्टॉल करें और पुनः जाँचें।

संबंधित CVE (जून 2026 WPN क्लस्टर)

रिपॉज़िटरी लेआउट

CVE-2026-42978/
├── README.md
├── LICENSE
├── lab/
│   ├── vulnerable_service.c
│   ├── race_attacker.c
│   └── build.bat
├── detection/
│   ├── etw_wpn_monitor.ps1
│   └── sysmon_wpn_race_detect.xml
└── reports/
    ├── PE_DIFF_REPORT.txt
    └── FUNCTION_DIFF_REPORT.txt

आवश्यकताएँ: डिटेक्शन स्क्रिप्ट के लिए Windows 10/11 · मॉक लैब के लिए MinGW · Sysmon वैकल्पिक।

इस README में स्क्रीनशॉट सार्वजनिक इमेज URL से लोड होते हैं। वे इस ट्री में संग्रहीत नहीं हैं।

संदर्भ

• MSRC — CVE-2026-42978
• CVE रिकॉर्ड
• BDU:2026-08249

सुरक्षा मॉड्यूल कैटलॉग

योगदान और समुदाय

उपयोगी कार्य:

1. तथ्य — MSRC बिल्ड, जून WPN क्लस्टर में सहोदर CVE।
2. डिटेक्शन — Sigma, बेहतर ETW, ASR सिफ़ारिशें।
3. होस्ट-ऐप मेटाडेटा और अनुवाद।
4. दस्तावेज़ और टूटे-लिंक फ़िक्स।

ऐसा PR न खोलें जो हथियारबंद WpnService एक्सप्लॉइट, हीप-स्प्रे हेल्पर, या लाइव सेवा के विरुद्ध एक्सप्लॉइट PoC जोड़ता हो।

संपर्क और सहायता

• वेबसाइट: zerodayevil.github.io
• उत्पाद दस्तावेज़: zerodayevil.github.io/ai-security-tool
• Telegram एडमिन: @ZeroDayEvil
• Telegram चैट: @ZeroDyaTool_chat
• Telegram चैनल: @ZeroDyaTool_channel
• Open Collective: opencollective.com/ZeroDayEvil

लाइसेंस और कानूनी

MIT License के अंतर्गत जारी। देखें LICENSE।

केवल अधिकृत रक्षात्मक शोध और सिस्टम प्रशासन।
लिखित प्राधिकरण के बिना स्थानीय विशेषाधिकार-उन्नयन परीक्षण अवैध है।

कमज़ोरी पैच कर दी गई है। Windows को अद्यतन रखें। इस रिपॉज़िटरी में लाइव सेवा के विरुद्ध हथियारबंद एक्सप्लॉइट शामिल नहीं है।

AI Security Tool — साइबर सुरक्षा पेशेवरों के लिए टर्मिनल वर्कफ़्लो और ऑटोमेशन।

_{zerodayevil.github.io के लिए रक्षात्मक मॉड्यूल · कोई स्टैंडअलोन WpnService एक्सप्लॉइट नहीं · MSRC पर तथ्य सत्यापित करें}