CVE-2026-42978 PoC 与研究 —— Windows 推送通知释放后使用（Use-After-Free）

Windows 推送通知服务（WpnService）中存在竞争条件，该服务以 NT AUTHORITY\SYSTEM 身份运行。拥有本地访问权限的攻击者可在平台关闭期间触发释放后使用，并可能提升权限。

• CVE： CVE-2026-42978
• BDU： BDU:2026-08249
• 类型： CWE-362（竞争条件）、释放后使用（Use-After-Free）
• CVSS： 7.8（高危）
• 受影响： Windows 10、Windows 11、Windows Server 2016/2019/2022/2025
• 已修复： 2026 年 6 月 10 日（补丁星期二）
• 状态： 已修复。本仓库仅用于防御性研究。

工作原理

WpnService 是 Windows 推送通知服务。它以 LocalSystem 身份、在会话 0 中运行于 svchost.exe -k netsvcs -p 进程内。所有通知投递——toast、磁贴、徽章——都经由它完成。

漏洞位于 wpncore.dll 中，具体在 PresentationEndpointFacade 类里。该类封装了所有通知 API 调用（toast 投递、会话管理、设置查询等），并委托给 PresentationEndpointImpl。

这个 Bug 在于：在平台关闭过程中，NotificationPlatform 对象会被销毁。但 Facade 方法不会检查关闭是否正在进行——它们获取指向平台的指针，平台随后被关闭线程释放，Facade 便使用了悬空指针。这是典型的释放后使用竞争条件。

存在漏洞的代码（反编译自 wpncore.dll build 26100.8521）

// PresentationEndpointFacade::ToastUnblockAll — VULNERABLE
long ToastUnblockAll(PresentationEndpointFacade *this) {
    // No lock. No shutdown check. Just grab the platform pointer and go.
    NotificationPlatformHandle::Get(this + 0x50);
    if (platform == NULL) Throw_Hr(...);
    // If shutdown frees the platform right here — use-after-free
    return PresentationEndpointImpl::UnblockToastsForEachApp(...);
}

Ghidra：存在漏洞的 ToastUnblockAll —— 访问平台前无任何同步

已修补的代码（wpncore.dll build 26100.8655）

// PresentationEndpointFacade::ToastUnblockAll — PATCHED
long ToastUnblockAll(PresentationEndpointFacade *this) {
    if (Feature_4097557817::IsEnabled()) {
        AcquireSRWLockShared(&Wns::s_platformLock);    // 1. shared lock
        if (Wns::s_platformShutdown)                    // 2. shutdown guard
            Throw_Hr(E_APPLICATION_EXITING);
        NotificationPlatformHandle::Get(this + 0x50);
        // ... do work ...
        ReleaseSRWLockShared(&Wns::s_platformLock);     // 3. RAII release
    } else {
        // feature flag off — old behavior preserved for rollback
    }
}

修复增加了三件事：

1. AcquireSRWLockShared —— 共享读写锁。多个 API 调用可以并发运行，但关闭操作会获取独占锁并将它们全部阻塞。
2. s_platformShutdown 检查 —— 若关闭已经开始，则立即以 E_APPLICATION_EXITING 退出。
3. RAII 锁释放 —— 锁保存在 wil::unique_storage 包装器中，因此即使抛出异常也会被释放。

特性标志 Feature_4097557817 用于通过 WIL（Windows 内部库）进行分阶段部署。它让微软可以逐步启用修复，并在出现问题时将其禁用。

修复的规模

这不是单个函数的 Bug。相同的锁+防护模式被添加到了 wpncore.dll 中的 49 个函数：

所有涉及平台访问的 PresentationEndpointFacade::* 方法都获得了相同的修复。底层的 PresentationEndpointImpl::* 方法保持不变——问题仅存在于 facade 层。

影响

WpnService 以 SYSTEM 身份运行。若攻击者在竞争中胜出：

1. 被释放的 NotificationPlatform 对象的内存可被重新占用，并填充攻击者控制的数据（堆喷）
2. 随后对悬空指针的虚方法调用将跳转到攻击者控制的地址
3. 以 NT AUTHORITY\SYSTEM 身份执行代码

实际的利用过程——堆喷、虚表劫持、实现代码执行——不在本次研究范围内。本仓库专注于理解根本原因和构建检测能力。

TOCTOU 竞争条件实验

lab/ 目录包含一个独立的 C 语言演示程序，它复现了此类 Bug，且不会触及 WpnService。它采用与 WpnService 类似的命名管道 + 共享内存架构。

工作原理：

• vulnerable_service.exe 从共享内存读取消息长度，验证后休眠 50 毫秒，然后再次读取该长度（双重取用，double-fetch）。
• race_attacker.exe 先设置一个安全长度并触发服务，然后立即将共享内存翻转为溢出值。
• 若时机把握得当，服务会在第二次取用时读到溢出值——缓冲区溢出。

运行 vulnerable_service.exe --patched 即可看到修复效果：单次取用并保存到局部变量。

左侧：服务检测到竞争（5/5）。右侧：攻击者翻转共享内存中的值。

构建并运行

需要 GCC（MinGW）。在 lab/ 目录下执行：

build.bat

终端 1：

vulnerable_service.exe

终端 2：

race_attacker.exe 5

然后与 vulnerable_service.exe --patched 对比——同样的攻击，检测到零次竞争。

检测

ETW 监视器（detection/etw_wpn_monitor.ps1）

检查 7 项指标的 PowerShell 脚本：

1. WpnService 状态和 PID
2. 崩溃/重启历史（利用失败会留下崩溃痕迹）
3. 推送通知平台事件日志突发检测
4. 与 WPN 相关的命名管道
5. 补丁验证（检查 wpncore.dll 日期）
6. 加载了 WPN 模块的进程
7. 通知数据路径中的符号链接/联接审计

powershell -ExecutionPolicy Bypass .\detection\etw_wpn_monitor.ps1

ETW 监视器：WpnService 正在运行（PID 6432），无崩溃，每小时 100 个事件，系统已修补

Sysmon 规则（detection/sysmon_wpn_race_detect.xml）

用于持续监控的六组规则：

安装：

sysmon64.exe -accepteula -i detection\sysmon_wpn_race_detect.xml

事件查看器

WpnService 的活动记录在 Microsoft-Windows-PushNotifications-Platform/Operational 日志中。需要关注的关键事件：

• 事件 1225：传输级别的 WPN 命令
• 快速事件突发（>20/分钟）——可能是竞争喷洒（race spray）
• 错误/严重事件——可能是利用失败导致的崩溃

事件查看器：PushNotifications-Platform 操作日志，事件 ID 1225

补丁差异比较

对 wpncore.dll 进行差异比较的关键发现：

• .text 节增加 18,432 字节（49 个函数中新增锁/防护代码）
• .data 节增加 96 字节（新增 Wns::s_platformLock 和 Wns::s_platformShutdown 全局变量）
• 未新增任何导入——AcquireSRWLockShared/ReleaseSRWLockShared 已在导入表中
• 新增 RAII 析构函数：~unique_any_t<...ReleaseSRWLockExclusive...> 证实了锁包装器的添加

完整报告位于 reports/ 中。

相关 CVE

CVE-2026-42978 是 2026 年 6 月修复的 9 个 WPN 相关漏洞集群之一：

项目结构

CVE-2026-42978/
├── README.md
├── lab/
│   ├── vulnerable_service.c    # mock WpnService with double-fetch bug
│   ├── race_attacker.c         # attacker that exploits the double-fetch
│   └── build.bat               # GCC build script
├── detection/
│   ├── etw_wpn_monitor.ps1     # 7-check PowerShell detector
│   └── sysmon_wpn_race_detect.xml  # Sysmon rule config
├── reports/
│   ├── PE_DIFF_REPORT.txt      # PE section/import diff results
│   └── FUNCTION_DIFF_REPORT.txt # function-level diff (49 changed)
└── img/                        # screenshots for this README

环境要求

• Windows 10/11（用于运行实验和检测工具）
• GCC / MinGW（用于构建 C 语言实验程序）
• Python 3.9+（用于差异比较脚本）
• Ghidra 11+（用于无头反编译，可选）
• Sysmon（用于检测规则，可选）

免责声明

本项目用于防御性安全研究。该漏洞已修复。项目中不包含任何武器化利用代码。TOCTOU 实验在独立的模拟服务上演示了此类 Bug——它不会与 WpnService 或任何系统组件交互。

请确保你的 Windows 保持最新。若 etw_wpn_monitor.ps1 报告你的系统未修补——请立即安装 2026 年 6 月累积更新。

贡献

如果你有想补充的内容——更好的检测规则、sploit PoC、Ghidra 版本跟踪（Version Tracking）会话、YARA 签名，或对该集群中相关 CVE 的分析——欢迎提交 PR。

贡献思路：

• 针对 SIEM 检测侧的 Sigma 规则
• 对 CVE-2026-42977/42979/42991（同一 WPN 竞争漏洞家族）的更深入分析
• 基于 WinDbg 的释放后使用堆分析
• 改进 ETW 监视器，加入实时 ALPC 突发检测
• Windows Defender ASR 规则建议

如有疑问或想讨论本次研究，请提交 issue。

许可证

MIT