Análise da Vulnerabilidade CVE-2025-62215

Projeto de pesquisa da vulnerabilidade de condição de corrida / double-free com escalonamento de privilégios no kernel do Windows.

Visão Geral

Estrutura do Projeto

.
├── README.md                           # This file
├── CLAUDE.md                           # Project context for Claude Code
├── report.md                           # Comprehensive vulnerability report
├── analysis.md                         # Static analysis of public (fake) PoC
├── TODO.md                             # Next steps and research plan
├── poc/
│   ├── exploit.h                       # Common definitions & undocumented types
│   ├── exploit.cpp                     # PoC skeleton (correct APIs)
│   └── Makefile                        # MSVC (nmake) build config
└── docs/
    ├── binary-acquisition.md           # How to obtain ntoskrnl.exe binaries
    ├── patch-analysis-guide.md         # IDA Pro + BinDiff analysis guide
    ├── detection-rules.md              # Sigma / Sysmon / ETW detection rules
    └── test-environment.md             # VM + WinDbg setup guide

Principais Descobertas

Fase 1: Pesquisa de Vulnerabilidade

• CVE-2025-62215 é uma vulnerabilidade real corrigida no Patch Tuesday de novembro de 2025
• Afeta todas as versões suportadas do Windows (10, 11, Server 2019/2022/2025)
• Explorada ativamente como zero-day, registrada no CISA KEV

Fase 1: Análise do PoC Público

• PoC público (abrewer251/CVE-2025-62215_Windows_Kernel_PE) — falso/não funcional
  • Usa API fictícia (NtCreateKernelObject)
  • VirtualAlloc em modo de usuário não pode fazer spray no pool do kernel
  • Sem mecanismo real de escalonamento de privilégios
  • Nenhum elemento de malware/backdoor detectado

Fase 2: Desenvolvimento do PoC (Atual)

• Esqueleto do PoC implementado com APIs corretas do kernel do Windows
• Componentes funcionais: verificação de versão, detecção de VM, resolução de NtDll, grooming de pool, vazamento de EPROCESS
• Bloqueado: o acionamento da condição de corrida requer análise binária (IDA Pro + BinDiff)

Próximos Passos

1. Obter o ntoskrnl.exe pré/pós-correção (veja docs/binary-acquisition.md)
2. Usar BinDiff para identificar a função corrigida
3. Concluir a Fase 3 (acionamento da vulnerabilidade) em poc/exploit.cpp
4. Testar em ambiente de VM isolado (veja docs/test-environment.md)

Compilação (Windows)

# From VS Developer Command Prompt
cd poc
nmake
exploit.exe --check    # System check only

Aviso Legal

Este projeto é apenas para fins educacionais e de pesquisa de segurança autorizada.