wh04m1001/cve-2025-60710Windows Recall 예약 작업의 로컬 권한 상승 취약점에 대한 개념 증명 악용으로, 심볼릭 링크를 통해 SYSTEM으로 임의 폴더 삭제를 시연합니다.
이것은 \Microsoft\Windows\WindowsAI\Recall\PolicyConfiguration 예약 작업의 로컬 권한 상승 취약점에 대한 PoC입니다.
이 예약 작업이 시작되면 taskhostw.exe 프로세스가 C:\Users\%username%\AppData\Local\CoreAIPlatform.00\UKP 디렉터리를 열고 다음 필터를 사용하여 디렉터리를 검색합니다: {????????-????-????-????-????????????}. 해당 디렉터리가 발견되면 심볼릭 링크를 확인하지 않고 삭제됩니다.
기본적으로 낮은 권한의 사용자가 자신의 %LOCALAPPDATA% 폴더에 디렉터리를 만들 수 있으므로 NT AUTHORITY\SYSTEM 사용자 컨텍스트에서 임의 폴더 삭제로 이어집니다.
예약 작업은 여러 트리거로 구성되어 있으며 이를 사용하여 예약 작업을 시작할 수 있습니다.
<Triggers>
<WnfStateChangeTrigger id="RecallPolicyCheckUpdateTrigger">
<Enabled>true</Enabled>
<StateName>7508BCA32C079E41</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="AADStatusChangeTrigger">
<Enabled>true</Enabled>
<StateName>7508BCA32C0F8241</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="DisableAIDataAnalysisTrigger">
<Enabled>true</Enabled>
<StateName>7528BCA32C079E41</StateName>
</WnfStateChangeTrigger>
<WnfStateChangeTrigger id="UserLoginTrigger">
<Enabled>true</Enabled>
<StateName>7510BCA338038113</StateName>
</WnfStateChangeTrigger>
<SessionStateChangeTrigger id="SessionUnlockTrigger">
<Enabled>true</Enabled>
<StateChange>SessionUnlock</StateChange>
</SessionStateChangeTrigger>
</Triggers>
이 PoC는 WnfStateChangeTrigger RecallPolicyCheckUpdateTrigger를 활용하여 예약 작업을 시작합니다.
