CVE-2026-85884 : Élévation de privilèges WPAD LPAC et WHESVC

Résumé

Une vulnérabilité à la frontière de privilèges de Windows affecte le service Windows Health and Optimized Experiences (whesvc) et le moteur Windows Diagnostics Lua. Un attaquant exécutant du code à faible privilège ou WPAD LPAC peut déclencher un événement de flux de travail ETW de confiance pour charger et exécuter un module Lua arbitraire. Une exploitation réussie permet une élévation de privilèges locaux vers le compte SYSTEM.

Investigation

La recherche montre que le service LocalSystem traite les événements ETW sans valider suffisamment le producteur de l’événement ou restreindre les emplacements de chargement des modules Lua. La preuve de concept utilise un script PowerShell pour déclencher le flux de travail et lance whoami.exe via cmd.exe, confirmant l’exécution réussie avec des privilèges au niveau SYSTEM.

Atténuation

Les utilisateurs doivent consulter le guide de mise à jour du Microsoft Security Response Center (MSRC) pour CVE-2026-85884 et appliquer les correctifs de sécurité pertinents. L’application du principe du moindre privilège et la surveillance des activités événementielles ETW inhabituelles associées à whesvc peuvent fournir une couverture défensive supplémentaire.

Réponse

Lorsqu’une activité non autorisée du service LocalSystem ou une exécution suspecte de PowerShell impliquant le flux de travail whesvc est détectée, les organisations doivent isoler l’hôte affecté. Examinez la télémétrie ETW pour des événements anormaux de Microsoft.Windows.Diagnostics.Lua et inspectez les modules Lua pour des modifications non autorisées ou inattendues.

Exécution de simulation

• Narratif et commandes d’attaque : L’adversaire a obtenu un accès initial à un poste de travail et a identifié une vulnérabilité dans le service whesvc. Pour escalader les privilèges à service. To escalate privileges to SYSTEM, l’attaquant télécharge un script nommé Invoke-WhesvcToSystem.ps1. Ils exécutent ce script en utilisant powershell.exe avec le drapeau -ExecutionPolicy Bypass pour contourner les restrictions locales de sécurité. Une fois l’exploit exécuté, l’attaquant exécute immédiatement whoami /user pour confirmer qu’ils ont réussi à passer d’un contexte utilisateur standard au contexte NT AUTHORITYSYSTEM. Cette séquence est conçue pour correspondre aux signatures de détection spécifiques fournies dans la règle. context. This sequence is designed to match the specific detection signatures provided in the rule.

• Script de test de régression :

  # 1. Créez une version factice du script d'exploitation pour satisfaire le contrôle de la ligne de commande
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output 'Simulating Exploit...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. Exécutez la commande exactement comme défini dans la logique de détection
  # Cela devrait déclencher la règle
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  # 3. Exécutez le déclencheur de détection secondaire (whoami /user)
  cmd.exe /c "whoami /user"

• Commandes de nettoyage :

  # Supprimez le script d'exploitation simulé
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force