CVE-2025-26633 - Повышение привилегий локально через EvilTwin в Microsoft Management Console (.msc) PoC

Zero-day на момент раскрытия (Март 2025) – Активно эксплуатируется в дикой природе группировкой Water Gamayun APT
ТОЛЬКО ДЛЯ АВТОРИЗОВАННОГО ТЕСТИРОВАНИЯ БЕЗОПАСНОСТИ И ИССЛЕДОВАНИЙ

Детали уязвимости

• Название эксплойта: Microsoft Management Console (MMC) - MSC EvilTwin: повышение локальных привилегий / выполнение произвольного кода
• CVE: CVE-2025-26633
• CVSS v3.1: 7.8 (Высокий) – AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• Затронутые системы:
  • Windows 10 (все редакции)
  • Windows 11 (все редакции)
  • Windows Server 2016 – 2025
    → Системы без обновлений до «вторника исправлений» марта 2025 года
• Исправлено в: Обновления марта 2025 (например, KB5053602 и более поздние)
• Обнаружение и раскрытие: Координировано через Zero Day Initiative
• ZDI Advisory: ZDI-25-150
• Microsoft Advisory: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-26633

Автор

• Mohammed Idrees Banyamer
  Иордания | Исследователь безопасности
  Instagram: @banyamer_security
  GitHub: https://github.com/mbanyamer

Доказательство концепции

Этот репозиторий содержит эксплойт, подтверждающий концепцию, который демонстрирует выполнение произвольных команд через вредоносный файл .msc (оснастка MMC).

Когда пользователь с низкими привилегиями открывает подготовленный файл .msc с помощью mmc.exe, встроенное действие RunCommand выполняется с привилегиями пользователя — что позволяет пост-эксплуатационное боковое перемещение или повышение привилегий в определенных цепочках атак.

Текущий PoC незаметно создает локальную учетную запись администратора:

• Имя пользователя: hacker
• Пароль: P@ssw0rd123!

Использование

python3 cve-2025-26633_poc.py