VirtualLockSensorLPE

説明

CVE-2025-0886 に対するローカル権限昇格 PoC エクスプロイトです。Windows 上で動作する Elliptic Virtual Lock Sensor バージョン 3.1.60531.2 を標的としており、これは特定の Lenovo ノートパソコンモデルにデフォルトでインストールされています。レジストリキーのアクセス許可を変更することで、通常のユーザーコンテキストから SYSTEM のコンテキストでペイロードを実行できます。

Lenovo の公式アドバイザリ: https://support.lenovo.com/us/en/product_security/LEN-182738

使用前に 注意事項 をお読みください。

ビルド方法

1. git clone --recursive でリポジトリをクローンします。
2. VirtualLockSensorLPE ソリューションをビルドします。

使用方法

VirtualLockSensorLPE.exe COMMAND

例

VirtualLockSensorLPE.exe "cmd /c echo test > C:\Windows\System32\poc.txt"

技術的詳細

脆弱なバージョンの Elliptic Virtual Lock Sensor は、以下のレジストリキーを使用します(Everyone に Full Control が付与されています):

• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\OnBattery
• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn

通常のユーザーはソフトウェアの再インストールを開始できます。上記のレジストリキーのいずれかの下に「コンテナ継承」("CI" フラグ)を有効にしたサブキーを作成し、その新しいキーの下にレジストリリンクを作成すると、再インストール中にそのリンクのターゲットに対して Everyone に Full Control が付与されます。

この PoC は以下の手順で脆弱性を悪用します:

1. HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn の下に、Everyone に Full Control が付与され、「コンテナ継承」("CI" フラグ)が有効なサブキー(名前は a)を作成します。
2. 新しく作成したサブキー(a)の下に、HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate を指すレジストリリンク(名前は b)を作成します。
3. Elliptic Virtual Lock Sensor の再インストールを強制します。
4. Everyone が edgeupdate キーに対して Full Control を持つようになったため、そのキーの ImagePath 値をペイロードを指すように変更できます。
5. edgeupdate (Microsoft Edge Update Service) サービスを開始して、SYSTEM のコンテキストでペイロードを実行します。

注意事項

• このエクスプロイトは HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate レジストリキーのアクセス許可をリセットしようとはしないため、手動でリセットする必要があります(実稼働システムでテストしている場合は、忘れずに実行してください)。
• バージョン 3.1.60531.2 を具体的に対象としています。他の脆弱なバージョンを対象とするには、エクスプロイトコードにいくつかの修正が必要になる場合があります(再インストールを開始するには、MsiReinstallProductW に渡すプロダクトコードを変更する必要があると思われます)。
• 任意のレジストリキーへの書き込みを特権コード実行に変える方法はいくつかあります。この PoC は、既存のサービス(edgeupdate)の構成を変更して任意のペイロードを指すようにすることでこれを実現しています。この手法にはいくつかの制限があります:
  • エクスプロイトを実行した時点で edgeupdate サービスがすでに実行されている場合、ペイロードは実行されません。1〜2 分待ってからエクスプロイトを再実行してください。
  • ペイロードがサービスバイナリではない場合(例: cmd)、Windows はしばらくするとその実行を停止します。