CVE-2026-85884: Escalatione di Privilegi WPAD LPAC e WHESVC

Riassunto

Una vulnerabilità nel confine di privilegio di Windows interessa il servizio Windows Health and Optimized Experiences (whesvc) e il motore Lua per la diagnostica Windows. Un attaccante che esegue codice con privilegi bassi o WPAD LPAC può attivare un evento di flusso di lavoro ETW affidabile per caricare ed eseguire un modulo Lua arbitrario. Lo sfruttamento riuscito consente l’elevazione dei privilegi locali all’account SYSTEM.

Investigazione

La ricerca mostra che il servizio LocalSystem elabora eventi ETW senza convalidare sufficientemente il produttore dell’evento o limitare le posizioni da cui possono essere caricati i moduli Lua. Il proof-of-concept utilizza uno script PowerShell per attivare il flusso di lavoro e lancia chiami.exe tramite cmd.exe, confermando l’esecuzione riuscita con privilegi a livello di SYSTEM.

Mitigazione

Gli utenti dovrebbero consultare la guida di aggiornamento del Microsoft Security Response Center (MSRC) per CVE-2026-85884 e applicare le patch di sicurezza rilevanti. L’applicazione del principio del privilegio minimo e il monitoraggio dell’attività insolita degli eventi ETW associati a whesvc possono fornire una copertura difensiva aggiuntiva.

Risposta

Quando viene rilevata attività non autorizzata del servizio LocalSystem o esecuzione sospetta di PowerShell che coinvolge il flusso di lavoro whesvc, le organizzazioni dovrebbero isolare l’host interessato. Rivedere la telemetria ETW per eventi anomali di Microsoft.Windows.Diagnostics.Lua e ispezionare i moduli Lua per modifiche non autorizzate o inattese.

Esecuzione di Simulazione

• Narrativa di Attacco & Comandi: L’avversario ha ottenuto un accesso iniziale a una workstation e ha identificato una vulnerabilità nel servizio whesvc. Per elevare i privilegi a service. To escalate privileges to SYSTEM, l’attaccante scarica uno script chiamato Invoke-WhesvcToSystem.ps1. Eseguono questo script utilizzando powershell.exe con il -ExecutionPolicy Bypass flag per eludere le restrizioni di sicurezza locali. Una volta eseguito l’exploit, l’attaccante esegue immediatamente whoami /user per confermare di essere passato con successo da un contesto utente standard a NT AUTHORITYSYSTEM contesto. Questa sequenza è progettata per corrispondere alle firme specifiche di rilevamento fornite nella regola.

• Script di Test di Regressione:

  # 1. Creare una versione fittizia dello script di exploit per soddisfare il controllo della linea di comando
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output 'Simulating Exploit...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. Eseguire il comando esattamente come definito nella logica di rilevamento
  # Questo dovrebbe attivare la regola
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  # 3. Eseguire il trigger di rilevamento secondario (whoami /user)
  cmd.exe /c "whoami /user"

• Comandi di Pulizia:

  # Rimuovere lo script di exploit simulato
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force