VirtualLockSensorLPE

Descrizione

Exploit PoC di escalazione dei privilegi locale per CVE-2025-0886 che colpisce Elliptic Virtual Lock Sensor versione 3.1.60531.2 in esecuzione su Windows, installato per impostazione predefinita su alcuni modelli di laptop Lenovo. Consente l'esecuzione di un payload nel contesto di SYSTEM da un contesto utente normale modificando le autorizzazioni su una chiave di registro.

Avviso ufficiale di Lenovo: https://support.lenovo.com/us/en/product_security/LEN-182738

Si prega di leggere le Note prima di utilizzarlo.

Come Compilare

1. Clona il repository con git clone --recursive.
2. Compila la soluzione VirtualLockSensorLPE.

Come Usare

VirtualLockSensorLPE.exe COMMAND

Esempio

VirtualLockSensorLPE.exe "cmd /c echo test > C:\Windows\System32\poc.txt"

Dettagli Tecnici

Le versioni vulnerabili di Elliptic Virtual Lock Sensor utilizzano le seguenti chiavi di registro dove Everyone ha Controllo completo:

• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\OnBattery
• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn

Gli utenti normali possono avviare una reinstallazione del software. Se viene creata una sottochiave con "container inherit" abilitato sotto una delle chiavi di registro elencate sopra, e viene poi creato un collegamento di registro sotto quella nuova chiave, a Everyone verrà concesso Controllo completo sulla destinazione di quel collegamento durante la reinstallazione.

La PoC sfrutta la vulnerabilità utilizzando i seguenti passaggi:

1. Creare una sottochiave (chiamata a) sotto HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn dove Everyone ha Controllo completo con "container inherit" (flag "CI") abilitato.
2. Creare un collegamento di registro (chiamato b) sotto la sottochiave appena creata (a) che punta a HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate.
3. Forzare una reinstallazione di Elliptic Virtual Lock Sensor.
4. Poiché Everyone ora ha Controllo completo sulla chiave edgeupdate, il valore ImagePath della chiave può essere modificato per puntare a un payload.
5. Avviare il servizio edgeupdate (Microsoft Edge Update Service) per eseguire il payload nel contesto di SYSTEM.

Note

• L'exploit non tenta di reimpostare le autorizzazioni sulla chiave di registro HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate, quindi dovrai farlo manualmente (e ti preghiamo di ricordarlo se stai testando questo su un sistema di produzione).
• Colpisce specificamente la versione 3.1.60531.2. Il codice dell'exploit potrebbe richiedere alcune modifiche per colpire altre versioni vulnerabili (il codice prodotto passato a MsiReinstallProductW dovrà probabilmente essere cambiato per avviare la reinstallazione).
• Esistono diversi modi per trasformare una scrittura arbitraria su una chiave di registro in esecuzione di codice con privilegi. Questa PoC ci riesce modificando la configurazione di un servizio esistente (edgeupdate) per farlo puntare a un payload arbitrario. Questa tecnica ha un paio di limitazioni:
  • Se il servizio edgeupdate è già in esecuzione quando l'exploit viene eseguito, il payload non verrà eseguito. Attendi un minuto o due ed esegui di nuovo l'exploit.
  • Se il payload non è un binario di servizio (ad es. cmd), Windows ne interromperà l'esecuzione dopo un breve periodo.