CVE-2026-20817 - Windows Error Reporting (WER) ALPC Privilege Escalation

Descrizione

Questo repository contiene una Proof-of-Concept (PoC) per CVE-2026-20817, una vulnerabilità di escalation dei privilegi locale nel servizio Windows Error Reporting (WER). La vulnerabilità consente a un utente autenticato con privilegi bassi di eseguire codice arbitrario con privilegi SYSTEM inviando messaggi ALPC appositamente predisposti al servizio WER.

Autore

Ricerca originale e PoC di:

• Twitter/X: @bytecodevm
• GitHub: @oxfemale

Dettagli della Vulnerabilità

• ID CVE: CVE-2026-20817
• Componente: Servizio Windows Error Reporting (WER)
• Vettore di attacco: Locale (ALPC)
• Privilegi richiesti: Bassi (utente autenticato)
• Impatto: Elevazione a SYSTEM
• Corretto: Aggiornamento di sicurezza di gennaio 2026

Panoramica Tecnica

Il servizio WER espone una porta ALPC denominata \WindowsErrorReportingService e fornisce vari metodi per la comunicazione tra processi. La vulnerabilità risiede nel metodo SvcElevatedLaunch (0x0D), dove il servizio non riesce a convalidare correttamente i privilegi del chiamante prima di avviare WerFault.exe con parametri della riga di comando forniti dall'utente tramite memoria condivisa.

Come funziona

1. Creare memoria condivisa contenente una riga di comando arbitraria
2. Connettersi alla porta ALPC di WER
3. Inviare un messaggio ALPC con metodo 0x0D, includendo:
   • ID del processo client
   • Handle della memoria condivisa
   • Lunghezza della riga di comando
4. Il servizio WER duplica l'handle e avvia WerFault.exe con la riga di comando fornita
5. Il processo risultante viene eseguito con privilegi SYSTEM

Privilegi Ottenuti

Il processo WerFault.exe generato viene eseguito con un token SYSTEM contenente:

Nota: Il token NON include SeTcbPrivilege (Agire come parte del sistema operativo).

Sistemi Interessati

• Windows 10 (tutte le versioni precedenti a gennaio 2026)
• Windows 11 (tutte le versioni precedenti a gennaio 2026)
• Windows Server 2019 (pre-gennaio 2026)
• Windows Server 2022 (pre-gennaio 2026)

Avvertenza

Questa PoC è solo a scopo educativo e di ricerca. Utilizzarla esclusivamente su sistemi di cui si è proprietari o per cui si dispone di esplicita autorizzazione al test. L'uso non autorizzato può violare leggi e regolamenti.

Compilazione della PoC

Requisiti

• Windows SDK
• Visual Studio (2019 o successivo consigliato)
• Compilatore compatibile con C++17

Compilazione

# Utilizzando il prompt dei comandi per sviluppatori di Visual Studio
cl /EHsc CVE-2026-20817_PoC.cpp