TriBell_Edge_SandBox_Escape

Tribell Edge 沙箱逃逸 - Edge 遗留漏洞 BadgeUpdateManager / TileFlyoutUpdateManager / ToastNotificationManager 的 PoC，利用跨边界 XmlDocument 共享并逃逸 Edge 的 LPAC 沙箱 (CVE-2019-0555)。

该 PoC 在即时编译 (JIT) 过程中触发 notepad.exe 的执行。

测试环境

• Windows 10 Version 1809 (OS Build 17763.107)
• Microsoft Edge
  • Microsoft Edge 44.17763.1.0
  • Microsoft EdgeHTML 18.17763

漏洞

• Edge 类型混淆：CVE-2019-0567
• XmlDocument 不安全共享权限提升：CVE-2019-0555

技术概述

许多部分信任的 Windows Runtime 类将 XmlDocument 类跨进程边界暴露给较低权限的调用者，其原始形式可能被滥用以提升权限并逃逸 Edge Content LPAC 沙箱。

此 PoC 使用 BadgeUpdateManager、TileFlyoutUpdateManager 和 ToastNotificationManager 再现 XmlDocument 跨边界暴露并实现沙箱逃逸。该漏洞已被 Microsoft 修补，不再适用于完全更新的系统。

在开发漏洞利用代码时，编写并编译了以下 C++ 代码来研究每个类的用法，然后在 IDA 中检查了 GUID 值和偏移量。

...
        ComPtr<ITileFlyoutUpdateManagerStatics> manager;
        HStringReference name(RuntimeClass_Windows_UI_Notifications_TileFlyoutUpdateManager);
        Check(RoGetActivationFactory(name.Get(), IID_PPV_ARGS(&manager)));
        ComPtr<IXmlDocument> doc;
        Check(manager->GetTemplateContent(TileFlyoutTemplateType::TileFlyoutTemplateType_TileFlyoutTemplate01, doc.GetAddressOf()));
        ComPtr<IXMLDOMDocument2> dom;
        Check(doc.As(&dom));
...

参考

• 漏洞利用开发：Windows 上的浏览器利用 - CVE-2019-0567，一个 Microsoft Edge 类型混淆漏洞
• Chakra 类型混淆 - Edge 遗留 JS 引擎漏洞的 PoC，可将代码注入 JIT 进程
• TileFlyoutUpdateManager 类
• BadgeUpdateManager 类
• ToastNotificationManager 类