VirtualLockSensorLPE

Описание

PoC-эксплойт для локального повышения привилегий для CVE-2025-0886, направленный на Elliptic Virtual Lock Sensor версии 3.1.60531.2, работающий на Windows, который по умолчанию установлен на некоторых моделях ноутбуков Lenovo. Позволяет выполнить полезную нагрузку в контексте SYSTEM из контекста обычного пользователя путем изменения разрешений на ключ реестра.

Официальное уведомление от Lenovo: https://support.lenovo.com/us/en/product_security/LEN-182738

Пожалуйста, прочитайте Примечания перед использованием.

Как собрать

1. Клонируйте репозиторий с помощью git clone --recursive.
2. Соберите решение VirtualLockSensorLPE.

Как использовать

VirtualLockSensorLPE.exe COMMAND

Пример

VirtualLockSensorLPE.exe "cmd /c echo test > C:\Windows\System32\poc.txt"

Технические детали

Уязвимые версии Elliptic Virtual Lock Sensor используют следующие ключи реестра, где Everyone имеет Full Control:

• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\OnBattery
• HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn

Обычные пользователи могут инициировать переустановку программного обеспечения. Если под ключ с включенным "container inherit" создан под одним из ключей реестра, перечисленных выше, и затем создана ссылка на реестр под этим новым ключом, Everyone получит Full Control на цель этой ссылки во время переустановки.

PoC использует уязвимость, выполняя следующие шаги:

1. Создайте под ключ (с именем a) в HKLM\SOFTWARE\Elliptic Labs\Virtual Lock Sensor\UserSettings\PluggedIn, где Everyone имеет Full Control с включенным "container inherit" (флаг "CI").
2. Создайте ссылку на реестр (с именем b) под только что созданным под ключом (a), указывающую на HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate.
3. Принудительно выполните переустановку Elliptic Virtual Lock Sensor.
4. Поскольку Everyone теперь имеет Full Control на ключе edgeupdate, значение ImagePath этого ключа можно изменить, чтобы оно указывало на полезную нагрузку.
5. Запустите службу edgeupdate (Microsoft Edge Update Service), чтобы выполнить полезную нагрузку в контексте .

Примечания

• Эксплойт не пытается сбросить разрешения на ключ реестра HKLM\SYSTEM\CurrentControlSet\Services\edgeupdate, поэтому вам придется сделать это вручную (и, пожалуйста, не забудьте сделать это, если вы тестируете это на рабочей системе).
• Специально предназначен для версии 3.1.60531.2. Код эксплойта может потребовать некоторых изменений для targeting других уязвимых версий (код продукта, передаваемый в MsiReinstallProductW, скорее всего, придется изменить для инициирования переустановки).
• Существуют разные способы превратить запись в произвольный ключ реестра в выполнение привилегированного кода. Этот PoC делает это путем изменения конфигурации существующей службы (edgeupdate) для указания на произвольную полезную нагрузку. У этого метода есть пара ограничений:
  • Если служба edgeupdate уже запущена на момент выполнения эксплойта, полезная нагрузка не будет выполнена. Подождите минуту или две и запустите эксплойт снова.
  • Если полезная нагрузка не является служебным двоичным файлом (например, cmd), Windows остановит ее выполнение через короткое время.