CVE-2026-62737: クラッシュからラボ支援によるSYSTEM取得へ

これは、元のCVE-2026-62737のwriteup （ExecutionContext.sys の任意カーネル間接呼び出し）の続編です。クラッシュ PoCを、cmd.exe をSYSTEMとして起動する実用的なトークンスワップチェーンに 変換します。ただし、デバッガがアドレスを提供し、ROPチェーンをカーネル メモリに書き込むラボ環境でのみ機能します。これはスタンドアロンのエクスプロイトではありません。

動作内容

1. 低権限ユーザーとして、KLoaderプロキシを介してExecutionContext デバイスを開きます。
2. ExecutionContext（0x22EC40）を初期化し、Callback がカーネルROPピボットである タスク（0x22AC54）をキューに登録します。
3. gdbスクリプト（patch_rop.py）がトークンスワップROPチェーンを ExecutionContext .data に書き込み、ハードウェアブレークポイントを 介してピボット時のRSP/RBPを取得します。
4. 短命のウォッチャースレッドがカーネルワーカー（0x226C5C 終了 コールバック）を起こし、チェーンが自分のトークンをSYSTEMのトークンと交換し、 カーネルスタックを復元してドライバディスパッチャに戻るため、ワーカーは生存します。

ファイル

要件

• カーネル 10.0.26100.8875 を搭載したWindows 11 25H2（ガジェットのRVAはビルド固有です）。
• QEMU gdbスタブ（gdbserver tcp::1234）、ゲストエージェント、および ホスト/ゲスト共有フォルダが Z: としてマウントされたVM。
• \\.\kloader\{9C0B898D-6275-48EC-81B4-E5EDBE44B535} を開くことができる低権限アカウント。
• ホスト上のMinGW-w64（x86_64-w64-mingw32-gcc）と gdb。

ビルド

x86_64-w64-mingw32-gcc -O2 -municode -o exploit.exe exploit.c
x86_64-w64-mingw32-gcc -O2 -o modlist.exe modlist.c

実行（起動ごと）

1. 新しいベースを取得: ./ga.py 'Z:\modlist.exe'（modlist.exe を共有 フォルダにコピーした後）

2. スクリプトを更新: ./refresh_bases.sh

3. exploit.exe と modlist.exe を共有フォルダにコピーします。

4. 低権限ユーザーとしてエクスプロイトを起動: exploit.exe <nt> <ec> <ec+0x10A00>。 PIDを Z:\lab_pid.txt に書き込み、Z:\go_lab.txt を待ちます。

5. gdbをアタッチし、LAB_PID_FILE にホスト側の lab_pid.txt のコピーを指定します:

   root@kitploit:~

   LAB_PID_FILE=/path/to/shared/lab_pid.txt \
     gdb -q -ex 'target remote :1234' -ex 'set pagination off' -x patch_rop.py
   

   gdbプロンプトで continue と入力します。

オフセット（カーネル 26100.8875）

スタンドアロンのエクスプロイトではない理由

• コールバックはシステムCR3を持つカーネルシステムスレッドで実行されます。ユーザーメモリ でのROPは不可能であり、MDLカーネルエイリアスも存在しません。
• 実際のエクスプロイトには、カーネルアドレスのリーク（nt/ec）と、チェーンを カーネルメモリに配置する手段が必要です。このビルドではその両方が欠けています。
• ピボット時のRSPはgdbブレークポイントで取得されます。実際のエクスプロイトでは、 スタック上に常駐するチェーンか、RSPを保存するガジェットが必要です。

ライセンス

MIT。 LICENSE を参照してください。