CVE-2026-62735

정보

• 이 취약점은 원래 Siyeon Wi가 발견했습니다. 저는 교육 및 사례 연구 목적으로 이 취약점을 독립적으로 재현했습니다.
• 이 취약점은 Pwn2Own Berlin 2026에서도 시연되었습니다. 참고 자료:
  • TrendAI Zero Day Initiative 상태
  • TrendAI Zero Day Initiative 블로그
• Microsoft 업데이트 세부 정보: CVE-2026-62735
• PoC는 Integer Overflow 취약점으로 인한 크래시를 시연합니다. 이 취약점을 통해 Heap Overflow -> SYSTEM shell 프리미티브를 확보할 수 있습니다.

요약

• 취약점: Integer Overflow
• 구성 요소: http.sys
• 트리거 함수: UlpCreateInternalResponseOld
• Windows 버전: Windows 11 25H2 26200.8875

상세 내용

• 정수 오버플로 취약점은 총 헤더 바이트 수를 계산할 때 발생합니다. 그 결과, http.sys는 헤더가 훨씬 더 큰 버퍼를 필요로 함에도 불구하고 TotalHeaderBytes를 기준으로 메모리를 할당합니다. 이는 UlGenerateMultipleKnownHeadersOld에서 nonpaged-pool 할당을 오버플로할 수 있는 기반을 제공합니다:

__int64 __fastcall UlpCreateInternalResponseOld(
    sv_UL_REQUEST *Request,
    unsigned __int16 EntityChunkCount,
    unsigned int FixedHeaderCount,
    unsigned int FixedHeaderBytes,
    unsigned int MultipleHeaderCount,
    unsigned int MultipleHeaderBytes,
    unsigned __int16 KnownHeaderCount,
    unsigned int TrailerCount,
    unsigned int TrailerBytes,
    char FastForwardRequested,
    char CacheEligible,
    char ResponseInfoPresent,
    char AutomaticChunkingRequired,
    char AdditionalHeaderRequired,
    sv_UL_INTERNAL_RESPONSE **InternalResponseOut)
{
    int VariableHeaderBytes; // r9d
    int H3ExtraHeaderBytes; // r10d
    unsigned int MultipleHeaderBytesLocal; // ecx
    unsigned int TotalHeaderBytes; // [rsp+E8h] [rbp+60h]
    ...
    // 0xffffff32 + 0x2e + 0 + 0xa0 = 0x4e
    TotalHeaderBytes = MultipleHeaderBytesLocal + FixedHeaderBytes + H3ExtraHeaderBytes + VariableHeaderBytes;
    ...
}

크래시 로그

• 버그체크:

*** Fatal System Error: 0x00000050
                       (0xFFFFCD86AE712000,0x0000000000000002,0xFFFFF807489C4362,0x0000000000000002)

Driver at fault: 
***      HTTP.sys - Address FFFFF807489C4362 base at FFFFF80748860000, DateStamp 2bfcaa4c
.
Break instruction exception - code 80000003 (first chance)

A fatal system error has occurred.
Debugger entered on first try; Bugcheck callbacks have not been invoked.

A fatal system error has occurred.

For analysis of this file, run !analyze -v
nt!DbgBreakPointWithStatus:
fffff807`b26fa0d0 cc              int     3

• 스택 추적:

0: kd> k
 # Child-SP          RetAddr               Call Site
00 ffffe205`092ddf78 fffff807`b27afcf2     nt!DbgBreakPointWithStatus
01 ffffe205`092ddf80 fffff807`b27af21e     nt!KiBugCheckDebugBreak+0x12
02 ffffe205`092ddfe0 fffff807`b26f9357     nt!KeBugCheck2+0xb2e
03 ffffe205`092de770 fffff807`b24fd030     nt!KeBugCheckEx+0x107
04 ffffe205`092de7b0 fffff807`b2443c56     nt!MiSystemFault+0x850
05 ffffe205`092de8a0 fffff807`b28badcb     nt!MmAccessFault+0x646
06 ffffe205`092dea10 fffff807`489c4362     nt!KiPageFault+0x38b
07 ffffe205`092deba8 fffff807`489a6611     HTTP!memcpy+0x122
08 ffffe205`092debb0 fffff807`4897c165     HTTP!UlGenerateMultipleKnownHeadersOld+0xbdd
09 ffffe205`092ded90 fffff807`48976db0     HTTP!UlpPrepareHttpResponseOld+0x2c9
0a ffffe205`092dee70 fffff807`489361a4     HTTP!UlCaptureHttpResponseOld+0x92c
0b ffffe205`092defc0 fffff807`488f7c92     HTTP!UlSendHttpResponseIoctlOld+0x1160
0c ffffe205`092df600 fffff807`488c4db5     HTTP!UlSendHttpResponseIoctl+0x12
0d ffffe205`092df630 fffff807`b245cabb     HTTP!UxDeviceControl+0xb5
0e ffffe205`092df670 fffff807`b245ca33     nt!IopfCallDriver+0x5b
0f ffffe205`092df6b0 fffff807`b2ac0e75     nt!IofCallDriver+0x13
10 ffffe205`092df6e0 fffff807`b2abfcbc     nt!IopSynchronousServiceTail+0x1c5
11 ffffe205`092df790 fffff807`b2abf30e     nt!IopXxxControlFile+0x99c
12 ffffe205`092dfa00 fffff807`b28bf255     nt!NtDeviceIoControlFile+0x5e
13 ffffe205`092dfa70 00007ffa`d37c0144     nt!KiSystemServiceCopyEnd+0x25
14 00000014`0d9af2d8 00007ffa`d08a3953     ntdll!NtDeviceIoControlFile+0x14
15 00000014`0d9af2e0 00007ffa`d1f93335     KERNELBASE!DeviceIoControl+0x73
16 00000014`0d9af350 00007ff7`00cb1cb4     KERNEL32!DeviceIoControlImplementation+0x75
17 00000014`0d9af3a0 00000000`00001f7f     poc!main+0x924
18 00000014`0d9af3a8 00000000`00000007     0x1f7f
19 00000014`0d9af3b0 00000014`0d9af4a0     0x7
1a 00000014`0d9af3b8 00000000`00000000     0x00000014`0d9af4a0

---

배포 미러 설명(한국어)

본 저장소는 CVE-2026-62735(Windows HTTP.sys 정수 오버플로 → 비페이징 풀 오버플로 → SYSTEM) 취약점 PoC의 중계 배포 미러입니다(기술 설명은 위의 원본 README 참조). 콘텐츠는 업스트림 공개 PoC 미러에서 가져온 것으로, 보관 및 배포 목적으로만 사용됩니다. PoC는 보안 연구, 취약점 검증 및 승인된 테스트 전용이며, 승인되지 않은 대상에 사용하지 마십시오.

취약점 요약 / Vulnerability Summary

• CVE-2026-62735 / Microsoft Windows HTTP.sys 권한 상승(Elevation of Privilege)
• 발견/시연: Siyeon Wi(Pwn2Own Berlin 2026); 본 PoC는 nhh9905가 독립적으로 재현
• 유형: 정수 오버플로(총 헤더 바이트 수 계산 시 래핑) → 비페이징 풀 힙 오버플로 → SYSTEM 권한 상승(LPE)
• CVSS 3.1: MSRC 7.8(Important)/ ZDI 8.8(AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
• 트리거 함수: UlpCreateInternalResponseOld / UlGenerateMultipleKnownHeadersOld(http.sys, 기존 코드 경로)
• 대상 버전: Windows 11 25H2 26200.8875(공개 재현); 패치 버전 Windows 11 25H2 26200.9168
• 트리거 방식: 로컬 저권한 프로세스가 자체 HTTP 클라이언트+서버를 구축하고, 대량의 HTTP 다중값 응답 헤더를 구성하여 IOCTL 0x12403F(UlSendHttpResponseIoctl)를 통해 http.sys에 전달
• 전제 조건: 공격자는 먼저 대상에서 저권한 코드를 실행할 수 있어야 함(PR:L)

핵심 원리: TotalHeaderBytes = MultipleHeaderBytesLocal + FixedHeaderBytes + H3ExtraHeaderBytes + VariableHeaderBytes — 다중값 응답 헤더 바이트 수가 2³²에 가깝게 구성되면, 이 32비트 합산이 매우 작은 값으로 래핑되고(0xffffff32 + 0x2e + 0 + 0xa0 = 0x4e), ExAllocatePool3는 이에 따라 실제 필요량보다 훨씬 작은 커널 버퍼를 할당합니다. 이후 UlGenerateMultipleKnownHeadersOld의 memcpy가 해당 비페이징 풀 블록을 경계를 넘어 쓰게 됩니다.

디렉터리 구조 / Layout

poc/   poc.cpp + head.hpp —— 전체 익스플로잇: 명명된 파이프 DQE 힙 스프레이 → 풀 오버플로로 0x30 헤더 제어 → 임의 읽기/쓰기 → SYSTEM 토큰 복사 → SYSTEM shell
crash/ poc.cpp + head.hpp —— 크래시 트리거 전용(취약점 존재 확인, 0x50 버그체크 트리거)

환경 및 사용법 / Requirements & Usage

• 대상: Windows 11 25H2(26200.8875 부근) 패치되지 않은 버전; 로컬 실행 권한 필요
• 빌드: poc.cpp는 Visual Studio(Windows) + Windows SDK 필요, HTTPAPI / WinHTTP 종속성으로 컴파일
• crash/와 poc/는 각각 독립 실행 파일입니다. poc.exe 실행 성공 시 SYSTEM shell이 열립니다.

면책 조항 / Disclaimer

본 PoC는 교육, 보안 연구 및 승인된 테스트 전용이며, 소유하거나 명시적 승인을 받은 시스템에서만 실행할 수 있습니다. 익스플로잇은 커널 풀 오버플로를 통해 SYSTEM으로 권한을 상승시키며, 블루스크린(0x50)을 유발할 수 있으므로 폐기 가능한 가상 머신에서 테스트하십시오.

출처 및 라이선스 / Attribution & License

• 취약점 발견자: Siyeon Wi(Pwn2Own Berlin 2026, ZDI 공식 감사).
• 본 PoC 작성자: nhh9905(공식 공지를 기반으로 독립 재현, 전체 SYSTEM 익스플로잇 체인 포함).
• 배포 저장소는 MIT License를 사용합니다(LICENSE 참조).

참고 링크 / References

• 업스트림 PoC 저장소: https://github.com/nhh9905/CVE-2026-62735
• 연구자 writeup(HackMD): https://hackmd.io/@nhh/Hy6Oem7_Me
• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62735
• ZDI: https://www.zerodayinitiative.com/advisories/ZDI-26-536/