Proof-of-concept per CVE-2026-21508

Per maggiori informazioni vedere: https://0xc4r.github.io/posts/CVE-2026-21508

Descrizione:

Il proof-of-concept consiste in un semplice script batch e un progetto DLL:

• La DLL verrà utilizzata per eseguire l'attacco di DLL hijacking e, quando caricata da WUDFHost.exe, eseguirà principalmente le seguenti azioni:
  1. Esegue RevertToSelf() per interrompere l'impersonificazione e tornare allo stato privilegiato.
  2. Fa qualcosa come esempio. In questo caso, avvio un'istanza elevata di cmd.exe (nella sessione 0) così che un'esecuzione riuscita possa essere facilmente identificata controllando con Process Explorer (o qualsiasi altro strumento preferisci) se cmd.exe è stato avviato da WUDFHost.exe
• il file batch SETUP.bat verrà utilizzato solo per copiare la DLL nella cartella corretta e creare le chiavi di registro necessarie per indurre WUDFHost.exe a caricare la DLL modificata.
• C'è anche un'immagine .jpg nel POC che verrà copiata da SETUP.bat nel percorso dell'unità flash USB che specifichi come primo argomento, assicurando che almeno un'immagine .jpg sia presente sulla USB.

Come usare:

Come utente non privilegiato, procedi:

1. Estrai il POC in una cartella a tua scelta.
2. Compila il progetto come release
3. Assicurati che un'unità flash USB sia collegata al computer.
4. Avvia SETUP.bat con come primo argomento il percorso dell'unità flash USB collegata al computer dove verrà copiato alps.jpg, ad esempio SETUP.bat F:\ (assicurando che almeno un'immagine .jpg sia presente sulla USB.)
5. La vulnerabilità viene attivata quando viene avviato "C:\Program Files (x86)\Windows Media Player\wmplayer.exe". Quindi, se non è già configurato, configura Windows Media Player per l'utente corrente (puoi usare le impostazioni consigliate predefinite). Nota che questo non richiede privilegi di amministratore; Segui semplicemente l'installazione quando SETUP.bat avvia "C:\Program Files (x86)\Windows Media Player\wmplayer.exe".

Nota: il proof-of-concept è stato testato e sviluppato per Windows 11.

Microsoft CVE-2026-21508: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21508