TL;DR
CVE‑2025‑62215 to lokalna eskalacja uprawnień w jądrze Windows spowodowana warunkiem wyścigu (CWE‑362; także przypisana CWE‑415). Wymaga uprzywilejowanego (ale nie admin) dostępu lokalnego i pozwala podnieść uprawnienia do SYSTEM. Microsoft potwierdził aktywną eksploatację (zero‑day); poprawka została wydana w Patch Tuesday (listopad 2025). Priorytet: natychmiastowe łatanie oraz telemetria post‑eksploatacyjna (procesy SYSTEM z katalogów zapisywalnych przez użytkownika, podejrzane tworzenie usług).
Krótka definicja techniczna
Błąd klasy race condition w Windows Kernel umożliwia atakującemu z kontekstu lokalnie uwierzytelnionego (PR:L) wygrać wyścig w obsłudze zasobu współdzielonego, co skutkuje podniesieniem uprawnień do SYSTEM. Wektor CVSS v3.1 (wg Microsoft/CNA): AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H (bazowa 7.0). CWE‑362 (race) oraz CWE‑415 (double free) są przypisane do rekordu.
Gdzie występuje / przykłady platform
- Windows (desktop i serwer) — komponent: Windows Kernel; konkretne edycje/wersje patrz karta MSRC. (Microsoft i niezależne serwisy potwierdzają, że jedna z 63 poprawek w listopadzie 2025 dotyczy właśnie tej luki).
- Active Directory / M365 / Azure / AWS / GCP / K8s / ESXi — nie dotyczy bezpośrednio (luka jest systemowa na hostach Windows).
Szczegółowy opis techniki (jak działa, cele, dlaczego skuteczna)
CVE‑2025‑62215 wykorzystuje niesynchronizowany dostęp do współdzielonego zasobu w jądrze. Napastnik o uprawnieniach użytkownika (np. standard user lub service account z ograniczeniami) może, poprzez odpowiednie tykowanie operacji (wyścig), doprowadzić do uzyskania tokenu SYSTEM i pełnej kontroli nad hostem. Luki EoP w kernelu są szczególnie atrakcyjne, bo zamyka to łańcuch ataku po początkowym footholdzie (np. RCE w Office/przeglądarce), a ślady w dziennikach często są pośrednie (nie ma “jednego” zdarzenia „użyto sploit kernelowy”). Microsoft oznaczył tę podatność jako aktywnie wykorzystywaną w czasie wydania poprawek.
Artefakty i logi (co obserwować)
| Źródło | Typ/ID | Co szukać (skrót) |
|---|---|---|
| Security.evtx | 4688 (Process Creation), 4672 (Special Privileges), 4624 (logon), 4697 (service installed – jeśli włączone) | Procesy z Integrity/System lub kontem SYSTEM uruchamiane z katalogów użytkownika/Temp/ProgramData; niespodziewane “Special privileges” zaraz po aktywności użytkownika. |
| System.evtx | 7045 (Service Installed) | Nowe usługi wskazujące na binaria w %USERPROFILE%, C:\ProgramData, C:\Windows\Temp. |
| Sysmon | 1 (ProcessCreate), 6 (DriverLoad), 7 (ImageLoad), 10 (ProcessAccess), 11 (FileCreate), 13 (Registry) | Procesy SYSTEM z nietypowych ścieżek; ewentualne ładowanie sterowników/obrazów z dysku użytkownika; dostęp do lsass.exe po nagłym wzroście uprawnień. |
| Microsoft Defender for Endpoint | DeviceProcessEvents, DeviceRegistryEvents, DeviceImageLoadEvents | ProcessIntegrityLevel == "System" + FolderPath w lokacjach zapisywalnych; nagłe wyłączanie AV/EDR; tworzenie usług/zadań. |
| M365 / CloudTrail / K8s audit | — | Nie dotyczy (luka hostowa Windows). |
| NVD/MSRC metadane | CVSS/CWE/stan exploitu | Potwierdzenie klasy błędu (race), wektora, aktywnej eksploatacji. |
Detekcja (praktyczne reguły)
Sigma (Sysmon — podejrzany SYSTEM z katalogów zapisywalnych)
title: Suspicious SYSTEM Process From User-Writable Path
id: d3f9b3b2-0f4f-4d9e-9b8a-2025-11-12
status: experimental
description: Wykrywa procesy z IntegrityLevel=System uruchomione z katalogów zapisywalnych (Users/ProgramData/Windows\Temp) – wskaźnik post-EoP (np. CVE-2025-62215).
logsource:
product: windows
service: sysmon
definition: 'EventID=1 ProcessCreate'
detection:
selection:
EventID: 1
IntegrityLevel|contains: 'System'
Image|startswith:
- 'C:\Users\'
- 'C:\ProgramData\'
- 'C:\Windows\Temp\'
filter_legit:
Image|startswith:
- 'C:\ProgramData\Microsoft\Windows Defender\'
- 'C:\ProgramData\Microsoft\IntuneManagementExtension\'
condition: selection and not filter_legit
fields:
- UtcTime
- Image
- CommandLine
- ParentImage
- User
falsepositives:
- Rzadkie legalne narzędzia utrzymaniowe działające jako SYSTEM z ProgramData
level: high
tags:
- attack.T1068Splunk (Sysmon)
index=xmlwineventlog sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" EventCode=1
IntegrityLevel=System (Image="C:\\Users\\*" OR Image="C:\\ProgramData\\*" OR Image="C:\\Windows\\Temp\\*")
| stats count min(_time) as first_seen max(_time) as last_seen values(ParentImage) values(CommandLine) by host, Image, UserKQL (Microsoft 365 Defender / Sentinel)
DeviceProcessEvents
| where ProcessIntegrityLevel == "System"
| where FolderPath has_any ("\\Users\\", "\\ProgramData\\", "\\Windows\\Temp\\")
| where not(FolderPath startswith @"C:\ProgramData\Microsoft\Windows Defender\"
or FolderPath startswith @"C:\ProgramData\Microsoft\IntuneManagementExtension\")
| summarize firstSeen=min(Timestamp), lastSeen=max(Timestamp), examples=make_set(ProcessCommandLine, 5) by DeviceName, AccountName, FolderPath, InitiatingProcessFileNameWindows Security: instalacja usług (Security 4697 / System 7045)
(index=wineventlog sourcetype="WinEventLog:System" EventCode=7045) OR
(index=wineventlog sourcetype="WinEventLog:Security" EventCode=4697)
| eval bin=coalesce(ImagePath, ServiceFileName, Service_FileName, ObjectName)
| where like(bin,"C:\\Users\\%") OR like(bin,"C:\\ProgramData\\%") OR like(bin,"C:\\Windows\\Temp\\%")
| table _time host EventCode ServiceName binElastic EQL
process where process.integrity_level == "System" and
(process.executable like "C:\\Users\\*" or
process.executable like "C:\\ProgramData\\*" or
process.executable like "C:\\Windows\\Temp\\*")Uwaga: brak “jednego” logu potwierdzającego exploit kernelowy. Detekcja opiera się na anomaliach post‑eksploatacyjnych i korelacjach. Informacja o aktywnej eksploatacji oraz naturze (race condition) pochodzi z MSRC/NVD/Tenable.
Heurystyki / korelacje
- Nagły skok uprawnień: proces użytkownika → w <60 s> pojawia się proces SYSTEM z tej samej sesji/typu konsoli.
- SYSTEM z podejrzanych ścieżek:
C:\Users\,C:\Windows\Temp\,C:\ProgramData\(nie dotyczy znanych agentów). - Tworzenie usługi/zadania tuż po EoP (7045/4697, SchTasks).
- Działania obronne zaburzane po EoP (wyłączenie AV/EDR — T1562), dostęp do LSASS (Sysmon 10) — możliwa kradzież poświadczeń po podniesieniu uprawnień.
- Koreluj z alertem “Windows Kernel EoP” w EDR (jeśli vendor publikuje taką sygnaturę dla listopadowej łatki). Publiczne raporty z 11–12 XI 2025 potwierdzają status zero‑day.
False positives / tuning
- Oprogramowanie korporacyjne uruchamiające moduły jako SYSTEM z ProgramData (agent instalacyjny, MDM/Intune, niektóre backupy).
- Skrypty utrzymaniowe uruchamiane przez SCCM/Intune.
- Tuning: białe listy ścieżek dla znanych agentów (Defender, Intune, narzędzia backupu), kontrola podpisu cyfrowego obrazu oraz producenta, okno czasowe korelacji (np. 30–120 s).
Playbook reagowania (IR)
- Triaging & izolacja: odłącz host od sieci (EDR isolate), zachowaj lotne artefakty (PID‑y SYSTEM z nietypowych ścieżek).
- Weryfikacja łatek: sprawdź, czy aktualizacja zbiorcza z 11 listopada 2025 jest zastosowana (np. KB5066835/KB5066793 dla Windows 11, KB5068781 dla Windows 10 ESU).
- PowerShell:
Get-HotFix | Where-Object {$_.HotFixID -match 'KB506'}
- PowerShell:
- Hunting: uruchom reguły/SPL/KQL z sekcji 7 na ostatnie 7–14 dni.
- Artefakty: zrzuty dla podejrzanych procesów SYSTEM (moduły, podpis, ścieżka), wpisy 7045/4697, zmiany w Run/Services, logi EDR.
- Eradykacja: usuń nieautoryzowane usługi/zadania, przywróć polityki EDR/AV, wymuś Windows Update.
- Recovery: reboot po łatce; monitoring wzmocniony (procesy SYSTEM z user‑paths).
- Komunikacja/CVE tracking: odnotuj CVE‑2025‑62215 w systemie zarządzania podatnościami, śledź MSRC/NVD.
Przykłady z kampanii / case studies
- Status: publicznie brak szczegółów o kampaniach/aktorem; Microsoft i media branżowe potwierdzają aktywną eksploatację w momencie wydania poprawek, bez ujawniania wektora wejścia.
Lab (bezpieczne testy)
Celem jest walidacja detekcji post‑EoP, bez eksploatowania luki.
- Symulacja “SYSTEM z user‑path” (usługa):
copy %SystemRoot%\System32\notepad.exe C:\Users\Public\demo.exe sc.exe create DemoSvc binPath= "C:\Users\Public\demo.exe" start= demand sc.exe start DemoSvc sc.exe delete DemoSvcOczekiwane: 7045/4697 oraz Sysmon EID=1 zImage=C:\Users\Public\demo.exei Integrity=System. - Symulacja procesu SYSTEM z konsoli (PsExec, Sysinternals):
psexec.exe -i -s cmd.exeNastępnie uruchom tymczasowy plik z%TEMP%jako SYSTEM, by trafić w reguły z sekcji 7. - Kontrola huntingu KQL/SPL — uruchom zapytania i potwierdź trafienia.
Mapowania (Mitigations, Powiązane techniki)
Mitigations (ATT&CK Enterprise):
- M1051 — Update Software (natychmiastowe wdrożenie poprawek).
- M1040 — Behavior Prevention on Endpoint (EDR/anty‑tampering, blokady zachowań post‑EoP).
- M1026 — Privileged Account Management (minimalizacja i monitoring użycia kont uprzywilejowanych).
Powiązane techniki (ATT&CK Enterprise):
- T1068 — Exploitation for Privilege Escalation
- T1543 — Create or Modify System Process
- T1562 — Impair Defenses
- T1055 — Process Injection
Źródła / dalsza literatura
- MSRC — CVE‑2025‑62215 (oficjalna karta). (Microsoft Security Response Center)
- NVD — CVE‑2025‑62215 (opis, CVSS, CWE). (NVD)
- Tenable: opis zero‑day i klasy błędu (race condition), kontekst listopadowego Patch Tuesday. (Tenable®)
- BleepingComputer: przegląd aktualizacji, potwierdzenie 1 zero‑day (CVE‑2025‑62215) i numery wybranych KB. (BleepingComputer)
- SecurityWeek / DarkReading: wzmianki o aktywnej eksploatacji. (SecurityWeek)
- ZDI / Qualys / HKCERT / SANS ISC / Talos: przeglądy miesiąca z odniesieniami do CVE‑2025‑62215. (Zero Day Initiative)
- ATT&CK v18 — wersja i historia wydań. (MITRE ATT&CK)
- CISA KEV — na moment pisania brak wpisu dla CVE‑2025‑62215 (sprawdź ponownie przed podejmowaniem decyzji). (CISA)
Checklisty dla SOC / CISO
SOC (operacyjna):
- Wdrożone reguły z sekcji 7 (Sysmon/Splunk/KQL/Elastic).
- Dodatkowy “watchlist” na procesy SYSTEM z
Users/ProgramData/Temp. - Monitor 7045/4697 + korelacja <120 s> od procesów użytkownika.
- Threat hunting 14 dni wstecz pod kątem post‑eksploatacyjnych anomalii.
- Walidacja, że hosty dostały listopadową CU (Windows Update/KB).
CISO (strategiczna):
- Patch SLA: 48–72 h dla krytycznych hostów Windows przy aktywnej eksploatacji.
- Egzekwuj M1051/M1040/M1026 (patching, EDR z ochroną przed wyłączeniem, PAM).
- Testy kontrolne w labie (sekcja 12) i przegląd wyjątków z białych list.
- Ciągły przegląd komunikatów MSRC/NVD; dodaj CVE‑2025‑62215 do dashboardu ryzyka.
Uwagi końcowe (stan na 12 lis 2025): Rekord NVD zawiera opis, wektor CVSS i przypisania CWE‑362/CWE‑415; MSRC potwierdza zero‑day i dostępność poprawek; niezależne serwisy (Tenable/BleepingComputer) opisują ją jako Windows Kernel EoP używaną w atakach. Sprawdzaj cyklicznie MSRC/NVD/CISA KEV, bo szczegóły (np. listy wersji Windows, atrybucje) mogą się zmienić.
