wh04m1001/cve-2025-48799CVE-2025-48799에 대한 개념 증명 익스플로잇으로, 심볼릭 링크 처리를 통한 임의 폴더 삭제로 Windows Update 서비스 권한 상승을 유발하며, 멀티 드라이브 Windows 10/11 시스템에 영향을 미칩니다.
이것은 Windows 업데이트 서비스의 권한 상승 취약점인 CVE-2025-48799에 대한 PoC입니다.
이 취약점은 최소 2개의 하드 드라이브가 있는 Windows 클라이언트(win11/win10)에 영향을 미칩니다. 시스템에 여러 하드 드라이브가 있는 경우 Storage Sense를 사용하여 새 콘텐츠가 저장되는 위치를 변경할 수 있습니다. 새 응용 프로그램의 위치가 보조 드라이브로 변경된 경우, 새 응용 프로그램을 설치하는 동안 wuauserv 서비스가 심볼릭 링크를 확인하지 않고 임의의 폴더 삭제를 수행합니다(파일이 발견되면 서비스는 GetFinalPathByHandle을 사용하여 최종 경로를 확인합니다). 이로 인해 LPE가 발생합니다.
이 PoC는 ZDI 블로그 게시물에 설명된 방법(및 일부 코드)을 활용합니다: https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks
https://github.com/user-attachments/assets/5e8b2a59-b787-4ba7-a6dc-1c71a9b3ba12
