CVE-2026-42978-PoC-Research

Pesquisa de PoC de Use-After-Free e Race Condition no CVE-2026-42978 Windows Push Notifications (WpnService), scanner de diagnóstico e módulo de auditoria de segurança para AI Security Tool.

Website · Documentação do produto · Aplicação host · Chat da comunidade

Navegação do site: Início · Atualizações · Downloads · Módulos

Aplicação host oficial

Produto: AI Security Tool
Site: zerodayevil.github.io
Docs: https://zerodayevil.github.io/ai-security-tool

Este módulo é uma análise revisada e um perfil de verificação segura para a AI Security Tool.
Use apenas módulos listados no site do projeto ou no catálogo oficial. Carregue este módulo dentro da aplicação aprovada, contra endpoints que você possui ou tem autorização por escrito para avaliar.

Este repositório não inclui um exploit weaponizado contra o WpnService. O laboratório em lab/ é um mock independente da classe de bug (TOCTOU / double-fetch). Ele não se comunica com o serviço real de notificações push.

Início rápido e instalação

Instale primeiro a aplicação host. Em seguida, habilite este módulo em Modules → Windows / Local EoP → CVE-2026-42978.

Builds prontos para uso

Apenas fontes oficiais:

• https://zerodayevil.github.io/
• https://zerodayevil.github.io/ai-security-tool
• https://github.com/ZeroDayEvil/ai-security-tool

Visão conceitual

CVE-2026-42978 é uma elevação de privilégio local nas Notificações Push do Windows. A Microsoft descreve acesso concorrente a um recurso compartilhado sem sincronização adequada (CWE-362). Pesquisas sobre wpncore.dll corrigido vs. não corrigido mostram uma race de use-after-free em PresentationEndpointFacade durante o desligamento da plataforma.

O WpnService é executado na sessão 0 como NT AUTHORITY\SYSTEM (svchost.exe -k netsvcs -p). A entrega de toast, tile e badge passa por ele. Vencer uma race contra esse processo é um problema de SYSTEM na máquina local — não um bug remoto de pré-autenticação em DC.

Status: corrigido em 10 de junho de 2026 (Patch Tuesday). Esta página é pesquisa defensiva.

Não é o CVE-2026-41089 (RCE do Netlogon). Componente diferente, modelo de privilégio diferente, data de patch diferente.

Especificações

Escopo

SKUs de cliente e servidor que incluem Push Notifications. Confirme o KB exato no MSRC antes de fechar um ticket.

Builds de orientação a partir de notas públicas de manutenção (sempre reverifique no MSRC):

Causa raiz (pesquisa)

A facade encapsula chamadas da API de notificações e delega para PresentationEndpointImpl. Durante o desligamento da plataforma, o objeto NotificationPlatform é destruído. Vários métodos da facade historicamente obtinham um ponteiro de plataforma sem um flag de desligamento ou um lock compartilhado. Se o teardown vencer a race, a próxima chamada usa um ponteiro pendente.

O mesmo padrão de lock-and-guard foi aplicado em 49 métodos PresentationEndpointFacade::*. Os métodos de implementação por baixo foram deixados como estavam — o furo estava na facade.

Forma não corrigida (wpncore.dll 26100.8521)

Forma corrigida (wpncore.dll 26100.8655)

O que o patch adiciona:

1. AcquireSRWLockShared — lock leitores-escritores; o desligamento obtém o exclusivo.
2. s_platformShutdown — aborta com E_APPLICATION_EXITING se o teardown começou.
3. Liberação RAII via WIL unique_storage, para que o lock seja liberado em caminhos de exceção.
4. Feature flag Feature_4097557817 para rollout em etapas / rollback.

Escala do diff do binário

Notas de PE de reports/:

• .text cresceu 18.432 bytes
• .data cresceu 96 bytes (Wns::s_platformLock, Wns::s_platformShutdown)
• sem novos imports — as APIs de SRW lock já estavam presentes
• novo destrutor RAII para liberação do lock exclusivo

Impacto

O WpnService é SYSTEM. Se a race for vencida, uma chamada de vtable pendente pode ser transformada em execução de código SYSTEM local. Esse passo — heap spray, hijack de vtable, payload — está fora do escopo aqui.

Este módulo é para compreensão da causa raiz, verificação de patch e detecção.

Usando este módulo dentro da AI Security Tool

1. Instale um build oficial atual de zerodayevil.github.io.
2. Abra Modules → CVE-2026-42978.
3. Aponte a verificação para endpoints Windows autorizados.
4. Trate o resultado como presença de patch / postura de WPN, não como "disparar a race".
5. Opcionalmente, colete o pacote de detecção (detection/) em uma máquina de laboratório.

Não execute loops de crash ou race contra o WpnService de produção.

Laboratório TOCTOU (apenas serviço mock)

lab/ é uma demo C independente de double-fetch / TOCTOU. Usa um named pipe e memória compartilhada. Não carrega wpncore.dll e não inicia ou para o WpnService.

• vulnerable_service.exe — valida um comprimento, dorme, lê o comprimento novamente.
• race_attacker.exe — altera o valor compartilhado durante essa janela.
• --patched — single-fetch em uma variável local; o mesmo atacante deve ver zero races.

Requer GCC (MinGW). A partir de lab/:

Terminal 1: vulnerable_service.exe
Terminal 2: race_attacker.exe 5
Depois compare com vulnerable_service.exe --patched.

Detecção e threat hunting

Monitor ETW — detection/etw_wpn_monitor.ps1

Sete verificações:

1. Estado e PID do WpnService
2. Histórico de crash / reinício
3. Rajada no event log do Push Notifications Platform
4. Named pipes relacionados a WPN
5. Dica de patch (data / build do wpncore.dll)
6. Processos com módulos WPN carregados
7. Auditoria de junction / symlink sob caminhos de dados de notificação

Sysmon — detection/sysmon_wpn_race_detect.xml

Visualizador de Eventos

Canal: Microsoft-Windows-PushNotifications-Platform/Operational

• Evento 1225 — comandos WPN em nível de transporte
• Taxa de rajada (por exemplo >20/min) — vale uma olhada, não é uma condenação
• Error / Critical — possível crash de uma tentativa falha

Checklist de mitigação

• Atualização cumulativa de junho de 2026 em todos os SKUs no escopo
• Build do wpncore.dll corresponde à linha corrigida para aquele branch
• EDR / Sysmon em workstations e jump boxes, não apenas em DCs
• Alerta quando svchost -k netsvcs gerar um shell
• Resultado do módulo do app host arquivado com o inventário de hotfixes

Se etw_wpn_monitor.ps1 indicar não corrigido — instale a atualização de junho de 2026 e reverifique.

CVEs relacionados (cluster WPN de junho de 2026)

Estrutura do repositório

Requisitos: Windows 10/11 para os scripts de detecção · MinGW para o laboratório mock · Sysmon opcional.

As capturas de tela neste README são carregadas de URLs públicas de imagens. Elas não estão armazenadas nesta árvore.

Referências

• MSRC — CVE-2026-42978
• Registro CVE
• BDU:2026-08249

Catálogo de módulos de segurança

Contribuição & comunidade

Trabalho útil:

1. Fatos — builds do MSRC, CVEs irmãos no cluster WPN de junho.
2. Detecção — Sigma, melhor ETW, recomendações de ASR.
3. Metadados e traduções do app host.
4. Documentação e correções de links quebrados.

Não abra um PR que adicione um exploit weaponizado do WpnService, helper de heap-spray ou PoC de exploit contra o serviço ativo.

Contato & suporte

• Website: zerodayevil.github.io
• Docs do produto: zerodayevil.github.io/ai-security-tool
• Admin do Telegram: @ZeroDayEvil
• Chat do Telegram: @ZeroDyaTool_chat
• Canal do Telegram: @ZeroDyaTool_channel
• Open Collective: opencollective.com/ZeroDayEvil

Licença & legal

Lançado sob a Licença MIT. Veja LICENSE.

Apenas pesquisa defensiva autorizada e administração de sistemas.
Testes de elevação de privilégio local sem autorização por escrito são ilegais.

A vulnerabilidade está corrigida. Mantenha o Windows atualizado. Este repositório não inclui um exploit weaponizado contra o serviço ativo.

AI Security Tool — fluxo de trabalho em terminal e automação para profissionais de cibersegurança.

_{Módulo defensivo para zerodayevil.github.io · Sem exploit standalone do WpnService · Verifique os fatos no MSRC}