CVE-2026-20817 - Escalação de Privilégios ALPC no Windows Error Reporting (WER)

Descrição

Este repositório contém uma Prova de Conceito (PoC) para CVE-2026-20817, uma vulnerabilidade de escalação local de privilégios no serviço Windows Error Reporting (WER). A vulnerabilidade permite que um usuário autenticado com privilégios baixos execute código arbitrário com privilégios de SYSTEM ao enviar mensagens ALPC especialmente criadas para o serviço WER.

Autor

Pesquisa original e PoC por:

• Twitter/X: @bytecodevm
• GitHub: @oxfemale

Detalhes da Vulnerabilidade

• ID CVE: CVE-2026-20817
• Componente: Serviço Windows Error Reporting (WER)
• Vetor de Ataque: Local (ALPC)
• Privilégios Necessários: Baixos (usuário autenticado)
• Impacto: Elevação para SYSTEM
• Corrigido: Atualização de Segurança de Janeiro de 2026

Visão Geral Técnica

O serviço WER expõe uma porta ALPC chamada \WindowsErrorReportingService e fornece vários métodos para comunicação entre processos. A vulnerabilidade existe no método SvcElevatedLaunch (0x0D), onde o serviço falha ao validar corretamente os privilégios do chamador antes de iniciar WerFault.exe com parâmetros de linha de comando fornecidos pelo usuário a partir da memória compartilhada.

Como funciona

1. Criar memória compartilhada contendo linha de comando arbitrária
2. Conectar à porta ALPC do WER
3. Enviar mensagem ALPC com o método 0x0D, incluindo:
   • ID do processo do cliente
   • Handle da memória compartilhada
   • Comprimento da linha de comando
4. O serviço WER duplica o handle e inicia WerFault.exe com a linha de comando fornecida
5. O processo resultante é executado com privilégios de SYSTEM

Privilégios Obtidos

O processo WerFault.exe gerado é executado com um token SYSTEM contendo:

Nota: O token NÃO inclui SeTcbPrivilege (Atuar como parte do sistema operacional).

Sistemas Afetados

• Windows 10 (todas as versões anteriores a janeiro de 2026)
• Windows 11 (todas as versões anteriores a janeiro de 2026)
• Windows Server 2019 (anterior a janeiro de 2026)
• Windows Server 2022 (anterior a janeiro de 2026)

Aviso

Esta PoC é apenas para fins educacionais e de pesquisa. Use somente em sistemas que você possui ou para os quais tenha permissão explícita de teste. O uso não autorizado pode violar leis e regulamentos.

Compilando a PoC

Requisitos

• Windows SDK
• Visual Studio (2019 ou posterior recomendado)
• Compilador compatível com C++17

Compilação

# Usando o Prompt de Comando do Desenvolvedor do Visual Studio
cl /EHsc CVE-2026-20817_PoC.cpp