CVE-2023-36874 Prova di concetto (PoC)

Un'implementazione educativa e difensiva della vulnerabilità CVE-2023-36874, che dimostra un difetto di escalation locale dei privilegi (LPE) nel componente Windows Error Reporting (WER).

⚠️ Disclaimer

Questo repository e il codice sorgente fornito sono destinati esclusivamente a scopi educativi, ricerca sulla sicurezza e audit difensivi. Non eseguire questo codice su sistemi di produzione o ambienti senza esplicita autorizzazione. L'autore non si assume alcuna responsabilità per usi impropri, danni o attività illegali condotte con questo materiale.

---

🔍 Panoramica della vulnerabilità

CVE-2023-36874 è una vulnerabilità logica di escalation dei privilegi in Windows Error Reporting (WER).

Un attaccante con privilegi limitati può sfruttare questo difetto manipolando il namespace di Windows Object Manager. Creando un symlink personalizzato (\??\C:) all'interno della directory di sessione locale, l'attaccante può reindirizzare le richieste di accesso ai file destinate all'unità root.

Quando un servizio ad alte prerogative (NT AUTHORITY\SYSTEM) attiva le attività di segnalazione errori utilizzando specifiche interfacce COM non documentate (come IErcLuaSupport), esso esegue impropriamente file dal percorso reindirizzato. Ciò consente l'esecuzione di un binario controllato dall'utente (wermgr.exe) con privilegi SYSTEM.

🛠️ Struttura del progetto

• main.cpp — Il codice sorgente C++ principale responsabile della configurazione dell'ambiente, della creazione del symlink di Object Manager e dell'interazione COM.
• exploit.exe (Segnaposto) — Il binario payload target che verrà generato dal servizio privilegiato.

---

🚀 Compilazione del progetto

Prerequisiti

• Visual Studio 2022 (o successivo) con il carico di lavoro Sviluppo desktop con C++ installato.
• Sistema operativo target: Windows 10/11 non aggiornato o Windows Server (precedente agli aggiornamenti di sicurezza di luglio 2023).

Configurazione in Visual Studio

1. Aprire Visual Studio e creare un nuovo Progetto C++ vuoto.
2. Aggiungere main.cpp ai file di origine.
3. Fondamentale: Cambiare la configurazione di compilazione da x86 (Win32) a x64. L'exploit si basa sulla risoluzione dei percorsi di sistema a 64 bit.
4. Compilare la soluzione (Ctrl + Shift + B).

---

📊 Flusso tecnico e comportamento in esecuzione

Quando viene eseguito, il programma svolge le seguenti operazioni in background:

1. Inizializzazione dell'ambiente: Crea cartelle di report fittizie in C:\ProgramData e prepara una struttura di directory speculare in C:\Users\Public\test\Windows\System32.
2. Dirottamento di Object Manager: Chiama NtCreateSymbolicLinkObject per reindirizzare le query dell'unità C: della sessione locale alla cartella personalizzata Public\test.
3. Attivazione COM: Si connette al server COM out-of-process utilizzando CLSID_ERCLuaSupport.
4. Attivazione dell'esecuzione: Costringe il servizio privilegiato a caricare e inviare il report fittizio tramite SubmitReport(). Il sistema tenta di avviare C:\Windows\System32\wermgr.exe ma viene reindirizzato al payload.

Output

Il binario viene eseguito silenziosamente in background.

• In caso di successo, il codice di uscita è 0 e il payload verrà eseguito nel contesto di NT AUTHORITY\SYSTEM.
• In caso di fallimento (ad es. per prerequisiti mancanti o patch già applicata), uscirà con -1.

---

🛡️ Rimedio e patch

Questo problema è stato formalmente affrontato da Microsoft nel ciclo di aggiornamenti Patch Tuesday di luglio 2023.

Per mitigare questa e vulnerabilità simili:

• Assicurarsi che il sistema operativo sia aggiornato con gli ultimi aggiornamenti cumulativi di qualità.
• Garantire una corretta implementazione della validazione dei percorsi e della pulizia dei token di impersonificazione all'interno dei servizi personalizzati a livello di sistema.