CVE-2026-85884: WPAD LPAC und WHESVC Privilegieneskalation

Zusammenfassung

Eine Verwundbarkeit der Windows-Rechtegrenze betrifft den Windows Health and Optimized Experiences-Dienst (whesvc) und die Windows Diagnostics Lua-Engine. Ein Angreifer, der niedrig privilegierten oder WPAD LPAC-Code ausführt, kann ein vertrautes ETW-Workflow-Ereignis auslösen, um ein beliebiges Lua-Modul zu laden und auszuführen. Eine erfolgreiche Ausnutzung ermöglicht eine lokale Privilegienerweiterung zum SYSTEM-Konto.

Untersuchung

Untersuchungen zeigen, dass der LocalSystem-Dienst ETW-Ereignisse verarbeitet, ohne den Ereignisproduzenten ausreichend zu validieren oder die Orte einzuschränken, von denen Lua-Module geladen werden können. Der Proof-of-Concept verwendet ein PowerShell-Skript, um den Workflow auszulösen und werami.exe über cmd.exe zu starten, was eine erfolgreiche Ausführung mit SYSTEM-Privilegien bestätigt.

Abschwächung

Benutzer sollten den Update-Leitfaden des Microsoft Security Response Center (MSRC) für CVE-2026-85884 konsultieren und die relevanten Sicherheitspatches anwenden. Die Durchsetzung des Prinzips der minimalen Rechte und die Überwachung ungewöhnlicher ETW-Ereignisaktivitäten im Zusammenhang mit whesvc kann zusätzlichen Verteidigungsschutz bieten.

Reaktion

Wenn unautorisierte Aktivitäten des LocalSystem-Dienstes oder verdächtige PowerShell-Ausführungen im Zusammenhang mit dem whesvc-Workflow entdeckt werden, sollten Organisationen den betroffenen Host isolieren. Überprüfen Sie die ETW-Telemetrie auf anomale Microsoft.Windows.Diagnostics.Lua-Ereignisse und inspizieren Sie Lua-Module auf unerlaubte oder unerwartete Änderungen.

Simulationseinsatz

• Angriffserzählung & Befehle: Der Angreifer hat sich initialen Zugriff auf einen Arbeitsplatzrechner verschafft und eine Schwachstelle im whesvc Dienst festgestellt. Um Privilegien auf SYSTEMzu eskalieren, lädt der Angreifer ein Skript namens Invoke-WhesvcToSystem.ps1herunter. Sie führen dieses Skript aus mit powershell.exe mit dem -ExecutionPolicy Bypass Parameter, um lokale Sicherheitsbeschränkungen zu umgehen. Sobald der Exploit ausgeführt wird, führt der Angreifer sofort whoami /user um zu bestätigen, dass sie erfolgreich vom Standardbenutzerkontext in den NT AUTHORITYSYSTEM Kontext gewechselt haben. Diese Sequenz ist so gestaltet, dass sie den spezifischen Erkennungssignaturen entspricht, die in der Regel bereitgestellt werden.

• Regressionstest-Skript:

  # 1. Erstellen Sie eine Dummy-Version des Exploit-Skripts, um die Befehlszeilenprüfung zu erfüllen
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output 'Simulate Exploit...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. Führen Sie den Befehl genau so aus, wie er in der Erkennungslogik definiert ist
  # Dies sollte die Regel auslösen
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  # 3. Führen Sie den sekundären Erkennungsauslöser (whoami /user) aus
  cmd.exe /c "whoami /user"

• Aufräumbefehle:

  # Entfernen Sie das simulierte Exploit-Skript
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force