davidcarliez/cve-2026-54992-pocCVE-2026-54992の概念実証、MSMQリモート読み取り整数オーバーフロー
Microsoft Message Queuing のリモート読み取り整数オーバーフロー（CVE-2026-54992 として追跡）の概念実証。
この PoC は 2 台の Windows VM を使用します。脆弱なターゲット上の通常のユーザーが、ローカルの MSMQ サービスに対して、ヘルパーがホストするキューから読み取るよう要求します。ヘルパーが不正な形式の MS-MQRR 応答を返し、ターゲット上の mqsvc.exe がクラッシュします。この PoC はサービス拒否を実証します。コード実行は実証しません。
mqqm.dll は返された各パケットセクションを個別に検証しますが、影響を受けるバージョンでは、それらの割り当て長を 32 ビット値で合計し、集約オーバーフローをチェックしません。この PoC はセクション長として 0x2000 と 0xffffe010 を提供します。それらの数学的な合計は 0x100000010 であり、0x10 にラップアラウンドします。MSMQ はラップされたサイズを使用してパケットストレージを割り当て、その後元のセクション長を処理するため、範囲外書き込みが発生します。
MinGW-w64 を使用して 2 つの x64 バイナリをビルドし、フォルダを両方の Windows VM にコピーします:
make clean all
隔離されたネットワーク上で 2 台の使い捨て Windows VM を使用します。ヘルパーと実際の MSMQ サービスは両方とも TCP ポート 2105 を使用するため、別々のマシンで実行する必要があります。
脆弱なターゲット上で、昇格された PowerShell ウィンドウから実行します:
Set-ExecutionPolicy -Scope Process Bypass
.\setup-target.ps1
ヘルパー VM 上で、昇格された PowerShell ウィンドウから実行します:
Set-ExecutionPolicy -Scope Process Bypass
.\start-emulator.ps1
次に、ターゲット上で、通常の非昇格 PowerShell ウィンドウから実行し、アドレスをヘルパー VM の IPv4 アドレスに置き換えます:
.\invoke-crash.ps1 -Server 192.168.122.53 -IUnderstandThisWillCrashMSMQ
影響を受けるビルドでは、mqsvc.exe が終了し、MSMQ がサービス終了コード 1067 で停止します。ラボをリセットするには、ヘルパー上で restore-helper.ps1 を実行し、ターゲット上で MSMQ を再起動します。