beardhammer/cve-2026-85884Prova de conceito em PowerShell que demonstra a CVE-2026-85884, uma escalada de privilégios do Windows whesvc/WinDiag Lua ETW de código de baixo privilégio ou WPAD LPAC para SYSTEM.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85884
Este repositório contém material de pesquisa e prova de conceito para um problema de fronteira de privilégios do Windows envolvendo o serviço Windows Health and Optimized Experiences (whesvc) e o mecanismo Windows Diagnostics Lua.
Código em execução com a capacidade de diagnóstico relevante pode emitir um evento de fluxo de trabalho ETW confiável contendo um caminho de módulo Lua controlado pelo atacante. O serviço LocalSystem consome esse evento e executa o módulo através do WinDiag sem autenticar adequadamente o produtor nem restringir o módulo a um local confiável.
A transição completa demonstrada é:
código de baixo privilégio ou WPAD LPAC
-> evento ETW Microsoft.Windows.Diagnostics.Lua
-> fluxo de trabalho whesvc em LocalSystem
-> módulo Lua controlado pelo atacante
-> canário de processo SYSTEM
O problema foi reproduzido nas builds exatas do Windows 11 x64 documentadas nos relatórios incluídos, incluindo as builds 26200.8457 e 29617.1000.
Invoke-WhesvcToSystem.ps1 é a demonstração mais simples para um usuário local. Não requer DLL, compilador ou payload externo e não incorpora nem descarrega nada. O callback Lua privilegiado executa o comando nativo whoami.exe /user através de cmd.exe e redireciona a sua saída para um ficheiro canário.
A partir de uma sessão PowerShell padrão, sem privilégios de administrador:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1
Uma execução bem-sucedida produz a saída de whoami.exe /user contendo:
nt authority\system S-1-5-18
O canário é escrito em:
%LOCALAPPDATA%\WhesvcL2S\system-canary.txt
O fluxo de trabalho tem um intervalo mínimo de rastreio, pelo que a demonstração demora normalmente pelo menos 35 segundos.
Remova o canário e quaisquer módulos Lua temporários correspondentes com:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1 -Cleanup
Este material é fornecido para investigação defensiva, validação de patches e testes de segurança autorizados. Os utilizadores são responsáveis por cumprir a legislação aplicável e por evitar perturbações em sistemas de produção.