CVE-2026-62735

信息

• 该漏洞最初由 Siyeon Wi 发现。我出于教育和案例研究目的独立复现了该漏洞。
• 该漏洞也在 Pwn2Own Berlin 2026 上进行了演示。参考：
  • TrendAI Zero Day Initiative 状态
  • TrendAI Zero Day Initiative 博客
• Microsoft 更新详情：CVE-2026-62735
• PoC 已演示了由 Integer Overflow 漏洞导致的崩溃。利用该漏洞，我们获得了 Heap Overflow 原语 -> SYSTEM shell。

摘要

• 漏洞：Integer Overflow
• 组件：http.sys
• 触发函数：UlpCreateInternalResponseOld
• Windows 版本：Windows 11 25H2 26200.8875

详情

• 该整数溢出漏洞发生在计算头部字节总数时。结果，http.sys 根据 TotalHeaderBytes 分配内存，尽管头部需要大得多的缓冲区。这为在 UlGenerateMultipleKnownHeadersOld 中溢出非分页池分配提供了基础：

__int64 __fastcall UlpCreateInternalResponseOld(
    sv_UL_REQUEST *Request,
    unsigned __int16 EntityChunkCount,
    unsigned int FixedHeaderCount,
    unsigned int FixedHeaderBytes,
    unsigned int MultipleHeaderCount,
    unsigned int MultipleHeaderBytes,
    unsigned __int16 KnownHeaderCount,
    unsigned int TrailerCount,
    unsigned int TrailerBytes,
    char FastForwardRequested,
    char CacheEligible,
    char ResponseInfoPresent,
    char AutomaticChunkingRequired,
    char AdditionalHeaderRequired,
    sv_UL_INTERNAL_RESPONSE **InternalResponseOut)
{
    int VariableHeaderBytes; // r9d
    int H3ExtraHeaderBytes; // r10d
    unsigned int MultipleHeaderBytesLocal; // ecx
    unsigned int TotalHeaderBytes; // [rsp+E8h] [rbp+60h]
    ...
    // 0xffffff32 + 0x2e + 0 + 0xa0 = 0x4e
    TotalHeaderBytes = MultipleHeaderBytesLocal + FixedHeaderBytes + H3ExtraHeaderBytes + VariableHeaderBytes;
    ...
}

崩溃日志

• Bugcheck：

*** Fatal System Error: 0x00000050
                       (0xFFFFCD86AE712000,0x0000000000000002,0xFFFFF807489C4362,0x0000000000000002)

Driver at fault: 
***      HTTP.sys - Address FFFFF807489C4362 base at FFFFF80748860000, DateStamp 2bfcaa4c
.
Break instruction exception - code 80000003 (first chance)

A fatal system error has occurred.
Debugger entered on first try; Bugcheck callbacks have not been invoked.

A fatal system error has occurred.

For analysis of this file, run !analyze -v
nt!DbgBreakPointWithStatus:
fffff807`b26fa0d0 cc              int     3

• 堆栈跟踪：

0: kd> k
 # Child-SP          RetAddr               Call Site
00 ffffe205`092ddf78 fffff807`b27afcf2     nt!DbgBreakPointWithStatus
01 ffffe205`092ddf80 fffff807`b27af21e     nt!KiBugCheckDebugBreak+0x12
02 ffffe205`092ddfe0 fffff807`b26f9357     nt!KeBugCheck2+0xb2e
03 ffffe205`092de770 fffff807`b24fd030     nt!KeBugCheckEx+0x107
04 ffffe205`092de7b0 fffff807`b2443c56     nt!MiSystemFault+0x850
05 ffffe205`092de8a0 fffff807`b28badcb     nt!MmAccessFault+0x646
06 ffffe205`092dea10 fffff807`489c4362     nt!KiPageFault+0x38b
07 ffffe205`092deba8 fffff807`489a6611     HTTP!memcpy+0x122
08 ffffe205`092debb0 fffff807`4897c165     HTTP!UlGenerateMultipleKnownHeadersOld+0xbdd
09 ffffe205`092ded90 fffff807`48976db0     HTTP!UlpPrepareHttpResponseOld+0x2c9
0a ffffe205`092dee70 fffff807`489361a4     HTTP!UlCaptureHttpResponseOld+0x92c
0b ffffe205`092defc0 fffff807`488f7c92     HTTP!UlSendHttpResponseIoctlOld+0x1160
0c ffffe205`092df600 fffff807`488c4db5     HTTP!UlSendHttpResponseIoctl+0x12
0d ffffe205`092df630 fffff807`b245cabb     HTTP!UxDeviceControl+0xb5
0e ffffe205`092df670 fffff807`b245ca33     nt!IopfCallDriver+0x5b
0f ffffe205`092df6b0 fffff807`b2ac0e75     nt!IofCallDriver+0x13
10 ffffe205`092df6e0 fffff807`b2abfcbc     nt!IopSynchronousServiceTail+0x1c5
11 ffffe205`092df790 fffff807`b2abf30e     nt!IopXxxControlFile+0x99c
12 ffffe205`092dfa00 fffff807`b28bf255     nt!NtDeviceIoControlFile+0x5e
13 ffffe205`092dfa70 00007ffa`d37c0144     nt!KiSystemServiceCopyEnd+0x25
14 00000014`0d9af2d8 00007ffa`d08a3953     ntdll!NtDeviceIoControlFile+0x14
15 00000014`0d9af2e0 00007ffa`d1f93335     KERNELBASE!DeviceIoControl+0x73
16 00000014`0d9af350 00007ff7`00cb1cb4     KERNEL32!DeviceIoControlImplementation+0x75
17 00000014`0d9af3a0 00000000`00001f7f     poc!main+0x924
18 00000014`0d9af3a8 00000000`00000007     0x1f7f
19 00000014`0d9af3b0 00000014`0d9af4a0     0x7
1a 00000014`0d9af3b8 00000000`00000000     0x00000014`0d9af4a0

---

分发镜像说明(中文)

本仓库为 CVE-2026-62735(Windows HTTP.sys 整数溢出 → 非分页池溢出 → SYSTEM) 漏洞 PoC 的中转分发镜像(技术说明见上方上游原版 README)。内容由上游公开 PoC 镜像而来,仅作存档与分发用途。PoC 仅供安全研究、漏洞验证与授权测试,请勿用于未授权目标。

漏洞简述 / Vulnerability Summary

• CVE-2026-62735 / Microsoft Windows HTTP.sys Elevation of Privilege
• 发现/演示:Siyeon Wi(Pwn2Own Berlin 2026);本 PoC 由 nhh9905 独立复现
• 类型:整数溢出(计算总头部字节数回绕)→ 非分页池堆溢出 → SYSTEM 权限提升(LPE)
• CVSS 3.1:MSRC 7.8(Important)/ ZDI 8.8(AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
• 触发函数:UlpCreateInternalResponseOld / UlGenerateMultipleKnownHeadersOld(http.sys,旧代码路径)
• 目标版本:Windows 11 25H2 26200.8875(公开复现);修复版本 Windows 11 25H2 26200.9168
• 触发方式:本地低权限进程自建 HTTP 客户端+服务端,构造大量 HTTP 多值响应头,经 IOCTL 0x12403F(UlSendHttpResponseIoctl)交给 http.sys 处理
• 前置条件:攻击者需先能在目标上执行低权限代码(PR:L)

核心原理:TotalHeaderBytes = MultipleHeaderBytesLocal + FixedHeaderBytes + H3ExtraHeaderBytes + VariableHeaderBytes——当多值响应头字节数被构造到接近 2³² 时,该 32 位求和回绕为极小值(0xffffff32 + 0x2e + 0 + 0xa0 = 0x4e),ExAllocatePool3 据此分配远小于实际需求的内核缓冲,随后 UlGenerateMultipleKnownHeadersOld 的 memcpy 越界写穿该非分页池块。

目录结构 / Layout

poc/   poc.cpp + head.hpp —— 完整利用:命名管道 DQE 堆喷 → 池溢出控制 0x30 头 → 任意读/写 → 复制 SYSTEM token → SYSTEM shell
crash/ poc.cpp + head.hpp —— 仅崩溃触发(验证漏洞存在,触发 0x50 bugcheck)

环境与用法 / Requirements & Usage

• 目标:Windows 11 25H2(26200.8875 附近)未打补丁版本;需本地执行权限
• 构建:poc.cpp 需 Visual Studio(Windows)+ Windows SDK,以 HTTPAPI / WinHTTP 依赖编译
• crash/ 与 poc/ 均为独立可执行;运行 poc.exe 成功后将弹出 SYSTEM shell

免责声明 / Disclaimer

本 PoC 仅供教学、安全研究与授权测试使用,仅可对自有或获得明确授权的系统运行。利用会以内核池溢出提权至 SYSTEM,可能触发蓝屏(0x50),请在可销毁的虚拟机中测试。

归属与许可 / Attribution & License

• 漏洞发现者:Siyeon Wi(Pwn2Own Berlin 2026,ZDI 官方致谢)。
• 本 PoC 作者:nhh9905(依据官方公告独立复现,含完整 SYSTEM 利用链)。
• 分发仓库采用 MIT License(见 LICENSE)。

参考链接 / References

• 上游 PoC 仓库:https://github.com/nhh9905/CVE-2026-62735
• 研究者 writeup(HackMD):https://hackmd.io/@nhh/Hy6Oem7_Me
• MSRC:https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62735
• ZDI:https://www.zerodayinitiative.com/advisories/ZDI-26-536/