CVE-2026-50343: InstallService StaticPluginMap EoP (Usuário Padrão para SYSTEM)

Eu descobri e relatei de forma independente a vulnerabilidade agora rastreada como CVE-2026-50343. A MSRC confirmou meu envio como duplicado de um relatório anterior de outro pesquisador. Um usuário interativo padrão pode escrever estado de plugin controlado pelo atacante sob HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State. O Serviço de Instalação da Microsoft Store executa como NT AUTHORITY\SYSTEM, lê PlugInList e StaticPluginMap, e carrega a DLL mapeada após um gatilho público AppInstallManager.SearchForAllUpdatesAsync(). O resultado é execução de código de usuário padrão local para SYSTEM.

📹 Vídeo de demonstração do shell SYSTEM interativo

TL;DR

InstallService confia em nomes de plugin e caminhos de DLL do estado HKLM que um usuário interativo padrão pode escrever. Um usuário com baixos privilégios cria um nome de plugin novo, aponta para uma DLL controlada pelo atacante e chama a API WinRT de controle de instalação da Store. InstallService então carrega essa DLL dentro de C:\Windows\System32\svchost.exe como NT AUTHORITY\SYSTEM.

A reprodução mais forte de VM limpa neste repositório abre um cmd.exe SYSTEM visível na sessão ativa da área de trabalho. No vídeo anexado, desktop-ud6iv88\user1 inicia como usuário padrão e o shell gerado relata:

nt authority\system S-1-5-18

Vulnerabilidade

O estado vulnerável reside em:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\PlugInList
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State\StaticPluginMap

Nas compilações testadas, um usuário interativo padrão pode criar as subchaves ausentes ou definir valores abaixo delas. InstallService posteriormente consome esses valores como configuração de plugin enquanto executa como SYSTEM.

A cadeia central do exploit:

1. O usuário padrão coloca uma DLL controlada pelo atacante em um local legível.
2. O usuário padrão escreve PlugInList\<fresh plugin name> = 1.
3. O usuário padrão escreve StaticPluginMap\<fresh plugin name> = <attacker DLL>.
4. O usuário padrão chama AppInstallManager.SearchForAllUpdatesAsync().
5. InstallService carrega a DLL do atacante como SYSTEM.
6. O código da DLL executa como NT AUTHORITY\SYSTEM.

Reprodução do Shell SYSTEM Interativo

Use a reprodução mais forte:

interactive-system-shell-repro/

A partir de um PowerShell de usuário padrão:

cd interactive-system-shell-repro
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Cleanup-InstallServiceInteractiveShell.ps1
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\Run-InstallServiceInteractiveShell.ps1

Quando o shell SYSTEM abrir:

whoami /user
whoami /priv

Cada execução escreve evidências em:

C:\Users\Public\InstallServiceEopProof\<timestamp>

Reprodução Mínima Original

Os arquivos originais de envio para a MSRC ainda estão presentes para referência:

Uso:

powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -PayloadDll "C:\Users\Public\isp_exploit.dll"
powershell.exe -ExecutionPolicy Bypass -File .\exploit.ps1 -Cleanup

Linha do Tempo

Recursos

• Comunicado da Microsoft: CVE-2026-50343
• Reprodução forte: interactive-system-shell-repro/
• Vídeo de demonstração: interactive-system-shell-repro/evidence/installservice-staticplugin.mp4
• PoC original: exploit.ps1
• Fonte original do canary: canary.c

Aviso Legal: Este código de exploit é fornecido para fins de pesquisa de segurança e educacionais. Não o utilize contra sistemas que você não possui ou sem autorização explícita para testar. O autor não é responsável pelo uso indevido.

CVE-2026-50343 - relatado de forma independente para a MSRC como caso 120271 / VULN-192719 e confirmado como um duplicado de um envio anterior de pesquisador.

Daniel Wade - GitHub · Twitter/X · Bluesky · Mastodon · Medium · nadsec.online