CVE-2026-20817 - Windows エラー報告 (WER) ALPC 権限昇格

説明

このリポジトリには、Windows エラー報告 (WER) サービスにおけるローカル権限昇格の脆弱性 CVE-2026-20817 の概念実証 (PoC) が含まれています。この脆弱性により、認証された低権限ユーザーが、特別に細工された ALPC メッセージを WER サービスに送信することで、SYSTEM 権限で任意のコードを実行できます。

作成者

オリジナル研究および PoC:

• Twitter/X: @bytecodevm
• GitHub: @oxfemale

脆弱性の詳細

• CVE ID: CVE-2026-20817
• コンポーネント: Windows エラー報告 (WER) サービス
• 攻撃ベクトル: ローカル (ALPC)
• 必要な権限: 低 (認証されたユーザー)
• 影響: SYSTEM への権限昇格
• パッチ適用: 2026年1月のセキュリティ更新プログラム

技術概要

WER サービスは、\WindowsErrorReportingService という名前の ALPC ポートを公開し、プロセス間通信のためのさまざまなメソッドを提供します。この脆弱性は SvcElevatedLaunch メソッド (0x0D) に存在し、サービスが共有メモリからユーザー指定のコマンドライン引数を使用して WerFault.exe を起動する前に、呼び出し元の権限を適切に検証しないことに起因します。

動作の仕組み

1. 任意のコマンドラインを含む共有メモリを作成する
2. WER ALPC ポートに接続する
3. メソッド 0x0D を含む ALPC メッセージを送信する。内容は以下の通り:
   • クライアントのプロセス ID
   • 共有メモリのハンドル
   • コマンドラインの長さ
4. WER サービスがハンドルを複製し、指定されたコマンドラインで WerFault.exe を起動する
5. 結果として生成されたプロセスは SYSTEM 権限で実行される

取得される権限

生成された WerFault.exe プロセスは、以下を含む SYSTEM トークンで実行されます:

注: トークンには SeTcbPrivilege (オペレーティング システムの一部として機能) は含まれません。

影響を受けるシステム

• Windows 10 (2026年1月より前のすべてのバージョン)
• Windows 11 (2026年1月より前のすべてのバージョン)
• Windows Server 2019 (2026年1月より前)
• Windows Server 2022 (2026年1月より前)

警告

この PoC は教育および研究目的のみを対象としています。所有しているシステム、またはテストする明示的な許可を得たシステムでのみ使用してください。許可なく使用すると、法律や規制に違反する可能性があります。

PoC のビルド

要件

• Windows SDK
• Visual Studio (2019 以降を推奨)
• C++17 互換コンパイラ

コンパイル

# Visual Studio 開発者コマンド プロンプトを使用
cl /EHsc CVE-2026-20817_PoC.cpp