CVE-2023-36874 Доказательство концепции (PoC)

Учебная и исследовательская реализация уязвимости CVE-2023-36874, демонстрирующая недостаток локального повышения привилегий (LPE) в компоненте Windows Error Reporting (WER).

⚠️ Отказ от ответственности

Этот репозиторий и предоставленный исходный код предназначены строго для образовательных целей, исследований в области безопасности и защитного аудита. Не запускайте этот код на производственных системах или в средах без явного разрешения. Автор не несёт ответственности за любое неправомерное использование, ущерб или незаконную деятельность, совершённую с помощью этого материала.

---

🔍 Обзор уязвимости

CVE-2023-36874 — это логическая уязвимость повышения привилегий в Windows Error Reporting (WER).

Атакующий с низкими привилегиями может эксплуатировать эту уязвимость, манипулируя пространством имён диспетчера объектов Windows. Создавая пользовательскую символическую ссылку (\??\C:) в локальном каталоге сеанса, атакующий может перенаправлять запросы доступа к файлам, предназначенные для корневого диска.

Когда высокопривилегированная служба (NT AUTHORITY\SYSTEM) запускает задачи отправки отчётов об ошибках с использованием специфических недокументированных COM-интерфейсов (например, IErcLuaSupport), она некорректно выполняет файлы из перенаправленного пути. Это позволяет выполнить управляемый пользователем бинарный файл (wermgr.exe) с привилегиями SYSTEM.

🛠️ Структура проекта

• main.cpp — основной исходный код на C++, отвечающий за настройку окружения, создание симлинка в диспетчере объектов и взаимодействие с COM.
• exploit.exe (заглушка) — целевой бинарный файл полезной нагрузки, который будет запущен привилегированной службой.

---

🚀 Сборка проекта

Предварительные требования

• Visual Studio 2022 (или новее) с установленной рабочей нагрузкой Разработка классических приложений на C++.
• Целевая операционная система: необновлённая Windows 10/11 или Windows Server (до обновлений безопасности июля 2023 года).

Настройка в Visual Studio

1. Откройте Visual Studio и создайте новый пустой проект C++.
2. Добавьте main.cpp в исходные файлы.
3. Критически важно: Измените конфигурацию сборки с x86 (Win32) на x64. Эксплойт полагается на разрешение 64-битных системных путей.
4. Соберите решение (Ctrl + Shift + B).

---

📊 Технический процесс выполнения и поведение программы

При выполнении программа выполняет следующие операции незаметно для пользователя:

1. Инициализация окружения: создаёт фиктивные папки отчётов в C:\ProgramData и подготавливает зеркальную структуру каталогов в C:\Users\Public\test\Windows\System32.
2. Перехват диспетчера объектов: вызывает NtCreateSymbolicLinkObject, чтобы перенаправить запросы диска C: локального сеанса на пользовательскую папку Public\test.
3. Активация COM: подключается к внешнему COM-серверу с помощью CLSID_ERCLuaSupport.
4. Запуск выполнения: заставляет привилегированную службу загрузить и отправить фиктивный отчёт через SubmitReport(). Система пытается запустить C:\Windows\System32\wermgr.exe, но перенаправляется на полезную нагрузку.

Результат

Бинарный файл работает без вывода в фоновом режиме.

• В случае успеха код возврата равен 0, и ваша полезная нагрузка выполнится в контексте NT AUTHORITY\SYSTEM.
• При сбое (например, из-за отсутствия предварительных требований или уже установленного обновления) программа завершится с кодом -1.

---

🛡️ Устранение уязвимости и установка обновлений

Эта проблема была официально устранена Microsoft в цикле обновлений July 2023 Patch Tuesday.

Чтобы снизить риск этой и подобных уязвимостей:

• Убедитесь, что ваша операционная система обновлена до последних накопительных обновлений качества.
• Обеспечьте правильную реализацию проверки путей и очистку токенов олицетворения в пользовательских системных службах.