CVE-2025-21420_POC

cleanmgr.exe の差分

新しいバージョンの cleanmgr.exe には、SetProcessMitigationPolicy 関数の呼び出しが含まれています。

MitigationPolicy が 16 に設定されており、これは ProcessRedirectionTrustPolicy に対応します。

Microsoft による CWE-59: ファイルアクセス前の不適切なリンク解決（'Link Following'） の説明と合わせると、cleanmgr.exe に Redirection Guard が有効になっていると推測できます。

Simon Zuckerbraun 氏と enigma0x3 氏による2つのブログ記事を読んだ後：

1. 任意のフォルダ削除/移動/名前変更から SYSTEM EoP へ
2. UAC の回避

Simon Zuckerbraun 氏が言及しているように、SilentCleanup タスクには C:/Config.msi フォルダを削除するのに十分な権限がある可能性があります。私たちは、SilentCleanup タスク（cleanmgr.exe を 最上位の特権で実行 で実行します）内の 任意のフォルダ削除/移動/名前変更 の脆弱性を見つけ、それを C:/Config.msi フォルダにリダイレクトするだけでよいのです。

Procmon による観察

SilentCleanup タスクを実行し、cleanmgr.exe の動作を観察します。

プロセスは列挙されたフォルダが存在するかどうかをチェックします（興味深いことに、C:\ESD がジャンクションかどうかは検証しませんが、Windows と Download はチェックします。ここでは詳しく掘り下げません）。

C:\$Windows.~WS、C:\ESD\Windows、C:\ESD\Download フォルダを作成し、その中に適当なファイルを置いて、SilentCleanup を再実行して再度観察します。

SilentCleanup が Windows と Download フォルダ内のコンテンツを削除することがわかります。これは フォルダ内容の削除から SYSTEM EoP へ で説明されている手法を利用できます。

エクスプロイト

1. Pythonスクリプトが3つのフォルダ（C:\$Windows.~WS、C:\ESD\Windows、C:\ESD\Download）を作成し、ダミーの .txt ファイルを置いて一時停止します。
2. FolderOrFileDeleteToSystem を実行して Config.msi をセットアップします。
3. FolderContentsDeleteToFolderDelete を実行して、C:\ESD\Windows から C:/Config.msi へのコンテンツ削除をリダイレクトします。
   注: AV がこのエクスプロイト手法を検出する可能性があるため、Defender でこれら2つのプロセスを除外してください。
4. Pythonスクリプトを再開し、SilentCleanup を実行してコンテンツの削除をトリガーします。
5. osk.exe を実行し、次に Ctrl-Alt-Delete を押します。

https://github.com/user-attachments/assets/d66b43ea-6706-4bce-94c4-ca3a6e97857f