CVE-2026-50343: InstallService StaticPluginMap EoP (da utente standard a SYSTEM)

Ho scoperto e segnalato in modo indipendente la vulnerabilità ora tracciata come CVE-2026-50343. MSRC ha confermato la mia segnalazione come duplicato di una segnalazione precedente di un altro ricercatore. Un utente interattivo standard può scrivere lo stato dei plugin controllato dall'attaccante sotto HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State. Il servizio Microsoft Store Install Service viene eseguito come NT AUTHORITY\SYSTEM, legge PlugInList e StaticPluginMap e carica la DLL mappata dopo un trigger pubblico di AppInstallManager.SearchForAllUpdatesAsync(). Il risultato è l'esecuzione di codice da utente standard locale a SYSTEM.

📹 Video demo della shell SYSTEM interattiva

TL;DR

InstallService si fida dei nomi dei plugin e dei percorsi DLL dallo stato HKLM che un utente interattivo standard può scrivere. Un utente a bassi privilegi crea un nuovo nome di plugin, lo punta a una DLL controllata dall'attaccante e chiama l'API WinRT di controllo dell'installazione dello Store. InstallService carica quindi quella DLL all'interno di C:\Windows\System32\svchost.exe come NT AUTHORITY\SYSTEM.

La riproduzione più robusta su VM appena creata in questo repository apre una cmd.exe SYSTEM visibile nella sessione desktop attiva. Nel video allegato, desktop-ud6iv88\user1 parte come utente standard e la shell generata riporta:

nt authority\system S-1-5-18

Vulnerabilità

Lo stato vulnerabile si trova sotto:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\PlugInList
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\StaticPluginMap

Sulle build testate, un utente interattivo standard può creare le sottochiavi mancanti o impostare valori al loro interno. InstallService consuma successivamente quei valori come configurazione dei plugin mentre viene eseguito come SYSTEM.

La catena di exploit principale:

1. L'utente standard posiziona una DLL controllata dall'attaccante in una posizione leggibile.
2. L'utente standard scrive PlugInList\<fresh plugin name> = 1.
3. L'utente standard scrive StaticPluginMap\<fresh plugin name> = <attacker DLL>.
4. L'utente standard chiama AppInstallManager.SearchForAllUpdatesAsync().
5. InstallService carica la DLL dell'attaccante come SYSTEM.
6. Il codice della DLL viene eseguito come NT AUTHORITY\SYSTEM.

Riproduzione della shell SYSTEM interattiva

Usa la riproduzione più robusta:

interactive-system-shell-repro/

Da una PowerShell con utente standard:

cd interactive-system-shell-repro
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Cleanup-InstallServiceInteractiveShell.ps1
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Run-InstallServiceInteractiveShell.ps1

Quando si apre la shell SYSTEM:

whoami /user
whoami /priv

Ogni esecuzione scrive le prove sotto:

C:\Users\Public\InstallServiceEopProof\<timestamp>

Riproduzione minima originale

I file della segnalazione originale a MSRC sono ancora presenti come riferimento:

Utilizzo:

powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -PayloadDll "C:\Users\Public\isp_exploit.dll"
powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -Cleanup

Cronologia

Risorse

• Avviso Microsoft: CVE-2026-50343
• Riproduzione robusta: interactive-system-shell-repro/
• Video demo: interactive-system-shell-repro/evidence/installservice-staticplugin.mp4
• PoC originale: exploit.ps1
• Sorgente canary originale: canary.c

Disclaimer: Questo codice di exploit è fornito per scopi di ricerca sulla sicurezza e didattici. Non utilizzarlo contro sistemi che non possiedi o per cui non hai un'autorizzazione esplicita ai test. L'autore non è responsabile dell'uso improprio.

CVE-2026-50343 - segnalata in modo indipendente a MSRC come caso 120271 / VULN-192719 e confermata come duplicato di una segnalazione precedente di un ricercatore.

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online