CVE-2026-50343: InstallService StaticPluginMap 権限昇格 (標準ユーザーからSYSTEMへ)

私は、現在 CVE-2026-50343 として追跡されているこの脆弱性を独自に発見し、報告しました。MSRC は、私の提出物が別の研究者による以前の報告の重複であることを確認しました。標準的な対話型ユーザーは、攻撃者が制御するプラグイン状態を HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State 配下に書き込むことができます。Microsoft Store インストールサービスは NT AUTHORITY\SYSTEM として実行され、PlugInList と StaticPluginMap を読み取り、公開された AppInstallManager.SearchForAllUpdatesAsync() トリガーの後にマップされた DLL を読み込みます。その結果、ローカルの標準ユーザーから SYSTEM へのコード実行が可能になります。

📹 対話型 SYSTEM シェルデモビデオ

TL;DR

InstallService は、標準的な対話型ユーザーが書き込むことができる HKLM 状態のプラグイン名と DLL パスを信頼します。低特権ユーザーは、新しいプラグイン名を作成し、それを攻撃者が制御する DLL にポイントし、Store のインストール制御 WinRT API を呼び出します。その後、InstallService はその DLL を C:\Windows\System32\svchost.exe 内で NT AUTHORITY\SYSTEM として読み込みます。

このリポジトリ内のより強力な新規 VM 再現手順は、アクティブなデスクトップセッションに表示可能な SYSTEM cmd.exe を開きます。添付のビデオでは、desktop-ud6iv88\user1 が標準ユーザーとして開始し、生成されたシェルには次のように表示されます：

nt authority\system S-1-5-18

脆弱性

脆弱な状態は以下の場所にあります：

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\PlugInList
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\StaticPluginMap

テスト済みビルドでは、標準的な対話型ユーザーが不足しているサブキーを作成したり、その配下に値を設定したりできます。その後、InstallService は SYSTEM として実行中に、それらの値をプラグイン構成として使用します。

中核となるエクスプロイトチェーン：

1. 標準ユーザーが、攻撃者が制御する DLL を読み取り可能な場所に配置します。
2. 標準ユーザーが PlugInList\<fresh plugin name> = 1 を書き込みます。
3. 標準ユーザーが StaticPluginMap\<fresh plugin name> = <attacker DLL> を書き込みます。
4. 標準ユーザーが AppInstallManager.SearchForAllUpdatesAsync() を呼び出します。
5. InstallService が攻撃者の DLL を SYSTEM として読み込みます。
6. DLL コードが NT AUTHORITY\SYSTEM として実行されます。

対話型 SYSTEM シェル再現手順

より強力な再現手順を使用します：

interactive-system-shell-repro/

標準ユーザーの PowerShell から：

cd interactive-system-shell-repro
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Cleanup-InstallServiceInteractiveShell.ps1
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Run-InstallServiceInteractiveShell.ps1

SYSTEM シェルが開いたら：

whoami /user
whoami /priv

各実行で、次の場所に証跡が書き込まれます：

C:\Users\Public\InstallServiceEopProof\<timestamp>

元の最小再現手順

元の MSRC 提出ファイルは参考用として引き続き提供されています：

使用方法：

powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -PayloadDll "C:\Users\Public\isp_exploit.dll"
powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -Cleanup

タイムライン

リソース

• Microsoft アドバイザリ： CVE-2026-50343
• 強力な再現手順： interactive-system-shell-repro/
• デモビデオ： interactive-system-shell-repro/evidence/installservice-staticplugin.mp4
• 元の PoC： exploit.ps1
• 元のカナリアソース： canary.c

免責事項： このエクスプロイトコードは、セキュリティ研究および教育目的で提供されています。所有していない、またはテストする明示的な許可を得ていないシステムに対して使用しないでください。作者は誤用について一切責任を負いません。

CVE-2026-50343 - ケース 120271 / VULN-192719 として MSRC に独自に報告され、以前の研究者の提出物の重複として確認されました。

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online