beardhammer/cve-2026-85884Proof-of-concept PowerShell che dimostra CVE-2026-85884, un'escalation di privilegi Windows whesvc/WinDiag Lua ETW da codice a bassi privilegi o WPAD LPAC a SYSTEM.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85884
Questo repository contiene materiale di ricerca e proof-of-concept relativo a un problema di confine dei privilegi di Windows che coinvolge il servizio Windows Health and Optimized Experiences (whesvc) e il motore Windows Diagnostics Lua.
Il codice in esecuzione con la capacità di diagnostica pertinente può emettere un evento workflow ETW attendibile contenente un percorso di modulo Lua controllato dall'attaccante. Il servizio LocalSystem consuma tale evento ed esegue il modulo tramite WinDiag senza autenticare adeguatamente il produttore né limitare il modulo a una posizione attendibile.
La transizione completa dimostrata è:
codice a bassi privilegi o WPAD LPAC
-> evento ETW Microsoft.Windows.Diagnostics.Lua
-> workflow whesvc LocalSystem
-> modulo Lua controllato dall'attaccante
-> canary di processo SYSTEM
Il problema è stato riprodotto sulle esatte build Windows 11 x64 documentate nei report inclusi, comprese le build 26200.8457 e 29617.1000.
Invoke-WhesvcToSystem.ps1 è la dimostrazione più semplice per un utente locale. Non richiede DLL, compilatore o payload esterni e non incorpora né scarica nulla. Il callback Lua privilegiato esegue il comando inbox whoami.exe /user tramite cmd.exe e reindirizza il suo output verso un file canary.
Da una sessione PowerShell standard, non amministrativa:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1
Un'esecuzione riuscita produce un output di whoami.exe /user contenente:
nt authority\system S-1-5-18
Il canary viene scritto in:
%LOCALAPPDATA%\WhesvcL2S\system-canary.txt
Il workflow ha un intervallo di tracciamento minimo, quindi la dimostrazione richiede normalmente almeno 35 secondi.
Per rimuovere il canary e gli eventuali moduli Lua temporanei corrispondenti:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1 -Cleanup
Questo materiale è fornito per la ricerca difensiva, la validazione delle patch e i test di sicurezza autorizzati. Gli utenti sono responsabili del rispetto delle leggi applicabili e di evitare interruzioni ai sistemi di produzione.