CVE-2026-85884: WPAD LPAC e WHESVC Escalonamento de Privilégios

Resumo

Uma vulnerabilidade de fronteira de privilégios do Windows afeta o serviço Windows Health and Optimized Experiences (whesvc) e o mecanismo de diagnóstico do Windows Diagnostics Lua. Um atacante executando código de baixo privilégio ou WPAD LPAC pode acionar um evento de fluxo de trabalho ETW confiável para carregar e executar um módulo Lua arbitrário. A exploração bem-sucedida permite a escalada de privilégio local para a conta SYSTEM.

Investigação

Pesquisas mostram que o serviço LocalSystem processa eventos ETW sem validar adequadamente o produtor do evento ou restringir os locais de onde módulos Lua podem ser carregados. O prova de conceito usa um script PowerShell para acionar o fluxo de trabalho e lança whoami.exe por meio do cmd.exe, confirmando a execução bem-sucedida com privilégios de nível SYSTEM.

Mitigação

Os usuários devem consultar o guia de atualização do Microsoft Security Response Center (MSRC) para o CVE-2026-85884 e aplicar os patches de segurança relevantes. Aplicar o princípio de privilégios mínimos e monitorar a atividade incomum de eventos ETW associada ao whesvc pode fornecer uma cobertura defensiva adicional.

Resposta

Quando atividade não autorizada do serviço LocalSystem ou execução suspeita de PowerShell envolvendo o fluxo de trabalho do whesvc é detectada, as organizações devem isolar o host afetado. Revisar a telemetria do ETW para eventos anômalos do Microsoft.Windows.Diagnostics.Lua e inspecionar módulos Lua para modificações não autorizadas ou inesperadas.

Execução de Simulação

• Narrativa & Comandos de Ataque: O adversário obteve acesso inicial a uma estação de trabalho e identificou uma vulnerabilidade no serviço whesvc. Para escalar privilégios para service. To escalate privileges to SYSTEM, o atacante baixa um script chamado Invoke-WhesvcToSystem.ps1. Eles executam este script usando powershell.exe com o flag -ExecutionPolicy Bypass para contornar restrições de segurança local. Uma vez que a exploração é executada, o atacante imediatamente executa whoami /user para confirmar que eles transitaram com sucesso de um contexto de usuário padrão para o contexto NT AUTHORITYSYSTEM. Esta sequência é projetada para corresponder às assinaturas de detecção específicas fornecidas na regra. context. This sequence is designed to match the specific detection signatures provided in the rule.

• Script de Teste de Regressão:

  # 1. Crie uma versão fictícia do script de exploração para satisfazer a verificação de linha de comando
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output 'Simulating Exploit...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. Execute o comando exatamente como definido na lógica de detecção
  # Isso deve acionar a regra
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  # 3. Execute o gatilho de detecção secundário (whoami /user)
  cmd.exe /c "whoami /user"

• Comandos de Limpeza:

  # Remova o script de exploração simulado
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force