Prova de Conceito (PoC) do CVE-2023-36874

Uma implementação educacional e de pesquisa defensiva da vulnerabilidade CVE-2023-36874, demonstrando uma falha de Escalação de Privilégio Local (LPE) no componente Relatório de Erros do Windows (WER).

⚠️ Aviso Legal

Este repositório e o código-fonte fornecido são destinados estritamente a fins educacionais, pesquisa de segurança e auditoria defensiva. Não execute este código em sistemas de produção ou ambientes sem autorização explícita. O autor não se responsabiliza por qualquer uso indevido, dano ou atividade ilegal realizada com este material.

---

🔍 Visão Geral da Vulnerabilidade

CVE-2023-36874 é uma vulnerabilidade lógica de escalação de privilégios no Relatório de Erros do Windows (WER).

Um atacante com privilégios baixos pode explorar essa falha manipulando o namespace do Gerenciador de Objetos do Windows. Ao criar um link simbólico personalizado (\??\C:) dentro do diretório de sessão local, o atacante pode redirecionar as solicitações de acesso a arquivos destinadas à unidade raiz.

Quando um serviço altamente privilegiado (NT AUTHORITY\SYSTEM) aciona tarefas de relatório de erros usando interfaces COM específicas e não documentadas (como IErcLuaSupport), ele executa indevidamente arquivos do caminho redirecionado. Isso permite que um binário controlado pelo usuário (wermgr.exe) seja executado com privilégios de SYSTEM.

🛠️ Estrutura do Projeto

• main.cpp — O código-fonte principal em C++, responsável pela configuração do ambiente, criação do link simbólico no Gerenciador de Objetos e interação COM.
• exploit.exe (Espaço reservado) — O binário de payload alvo que será iniciado pelo serviço privilegiado.

---

🚀 Compilando o Projeto

Pré-requisitos

• Visual Studio 2022 (ou superior) com a carga de trabalho Desenvolvimento para desktop com C++ instalada.
• Sistema Operacional alvo: Windows 10/11 ou Windows Server sem patch (anterior às atualizações de segurança de julho de 2023).

Configuração no Visual Studio

1. Abra o Visual Studio e crie um novo Projeto Vazio em C++.
2. Adicione main.cpp aos arquivos de origem.
3. Crucial: Altere a configuração de compilação de x86 (Win32) para x64. O exploit depende da resolução de caminhos do sistema de 64 bits.
4. Compile a solução (Ctrl + Shift + B).

---

📊 Fluxo Técnico e Comportamento de Execução

Quando executado, o programa realiza as seguintes operações nos bastidores:

1. Inicialização do Ambiente: Cria pastas de relatório fictícias em C:\ProgramData e prepara uma estrutura de diretórios espelhada em C:\Users\Public\test\Windows\System32.
2. Sequestro do Gerenciador de Objetos: Chama NtCreateSymbolicLinkObject para redirecionar as consultas da unidade C: da sessão local para a pasta personalizada Public\test.
3. Ativação COM: Conecta-se ao servidor COM fora de processo usando CLSID_ERCLuaSupport.
4. Disparo da Execução: Força o serviço privilegiado a carregar e enviar o relatório fictício via SubmitReport(). O sistema tenta iniciar C:\Windows\System32\wermgr.exe, mas é redirecionado para o payload.

Saída

O binário é executado silenciosamente em segundo plano.

• Se for bem-sucedido, o código de saída será 0 e seu payload será executado no contexto de NT AUTHORITY\SYSTEM.
• Se falhar (por exemplo, devido à falta de pré-requisitos ou a um patch já aplicado), o programa sairá com -1.

---

🛡️ Remediação e Correção

Este problema foi formalmente resolvido pela Microsoft no ciclo de atualizações da Patch Tuesday de julho de 2023.

Para mitigar esta e vulnerabilidades semelhantes:

• Certifique-se de que seu sistema operacional esteja atualizado com as últimas atualizações cumulativas de qualidade.
• Garanta a implementação adequada da validação de caminhos e da sanitização de tokens de impersonação em serviços personalizados de nível de sistema.