CVE-2026-62737: dal crash a SYSTEM assistito dal laboratorio

Un seguito al writeup originale di CVE-2026-62737 (ExecutionContext.sys chiamata indiretta arbitraria del kernel). Trasforma la PoC del crash in una catena di token-swap funzionante che avvia cmd.exe come SYSTEM, ma solo in un laboratorio dove un debugger fornisce gli indirizzi e scrive la catena ROP nella memoria del kernel. Questo non è un exploit autonomo.

Cosa fa

1. Apre il dispositivo ExecutionContext tramite il proxy KLoader come utente a bassi privilegi.
2. Inizializza un ExecutionContext (0x22EC40) e accoda un task (0x22AC54) il cui Callback è un pivot ROP del kernel.
3. Uno script gdb (patch_rop.py) scrive una catena ROP di token-swap nella sezione ExecutionContext .data e cattura RSP/RBP al momento del pivot tramite un breakpoint hardware.
4. Un thread watcher di breve durata risveglia il kernel worker (callback di uscita 0x226C5C), la catena scambia il nostro token con quello di SYSTEM, ripristina lo stack del kernel e ritorna nel dispatcher del driver, così il worker sopravvive.

File

Requisiti

• Windows 11 25H2 con kernel 10.0.26100.8875 (gli RVA dei gadget sono specifici della build).
• Una VM con uno stub gdb di QEMU (gdbserver tcp::1234), un guest agent e una cartella condivisa host/guest montata come Z:.
• Un account a bassi privilegi che possa aprire \\.\kloader\{9C0B898D-6275-48EC-81B4-E5EDBE44B535}.
• MinGW-w64 (x86_64-w64-mingw32-gcc) e gdb sull'host.

Compilazione

x86_64-w64-mingw32-gcc -O2 -municode -o exploit.exe exploit.c
x86_64-w64-mingw32-gcc -O2 -o modlist.exe modlist.c

Esecuzione (a ogni avvio)

1. Ottieni basi aggiornate: ./ga.py 'Z:\modlist.exe' (dopo aver copiato modlist.exe nella cartella condivisa)

2. Aggiorna gli script: ./refresh_bases.sh

3. Copia exploit.exe e modlist.exe nella cartella condivisa.

4. Avvia l'exploit come utente a bassi privilegi: exploit.exe <nt> <ec> <ec+0x10A00>. Scrive il proprio PID in Z:\lab_pid.txt e attende Z:\go_lab.txt.

5. Collega gdb, puntando LAB_PID_FILE alla copia host di lab_pid.txt:

   root@kitploit:~

   LAB_PID_FILE=/path/to/shared/lab_pid.txt \
     gdb -q -ex 'target remote :1234' -ex 'set pagination off' -x patch_rop.py
   

   Digita continue al prompt di gdb.

Offset (kernel 26100.8875)

Perché questo non è un exploit autonomo

• La callback viene eseguita in un thread di sistema del kernel con CR3 di sistema; una ROP in memoria utente è impossibile e non esiste alcun alias MDL del kernel.
• Un exploit reale necessita di una leak di indirizzi del kernel (nt/ec) e di un modo per portare la catena nella memoria del kernel. Entrambi mancano su questa build.
• L'RSP al momento del pivot viene catturato da un breakpoint di gdb; un exploit reale avrebbe bisogno di una catena residente nello stack o di un gadget che salvi l'RSP.

Licenza

MIT, vedi LICENSE.