David Carliez merilis analisis mendalam mengenai CVE-2026-49176, kerentanan eskalasi hak akses lokal (LPE) pada Windows WalletService yang memungkinkan pengguna biasa mencapai NT AUTHORITY\SYSTEM melalui kombinasi known-folder redirection dan ESE persisted callbacks. Kerentanan ini mencerminkan trust boundary violation yang serius dalam arsitektur service Windows modern dan telah diperbaiki Microsoft pada build 26200.8875.
APA YANG TERJADI?
WalletService adalah komponen LocalSystem yang mendukung API WinRT Windows.ApplicationModel.Wallet dan bisa diakses oleh pengguna biasa tanpa hak admin. Selama inisialisasi, service ini memperoleh token pemanggil melalui CoImpersonateClient, menggunakan token tersebut untuk menyelesaikan path folder Documents milik pengguna via SHGetKnownFolderPath, menambahkan komponen tetap “Wallet”, lalu kembali ke identitas LocalSystem sebelum membuka path tersebut. Urutan ini menciptakan trust boundary crossing yang berbahaya: service menggunakan identitas pengguna untuk memilih path, namun kemudian menyeberang ke privilege SYSTEM sebelum memverifikasi objek yang ada di path tersebut.
DETAIL TEKNIS
Penyerang memanfaatkan Extensible Storage Engine (ESE) yang mendukung mekanisme user-defined-default callbacks dalam format DLL!ExportName. Ketika service membuka database wallet.db dengan parameter JET_paramEnablePersistedCallbacks diaktifkan, ESE secara otomatis memuat dan mengeksekusi DLL yang dirujuk dalam skema database. Penyerang terlebih dahulu membuat database ESE berbahaya yang berisi callback ke DLL miliknya, mengarahkan folder Documents ke direktori yang memuat database tersebut, lalu memicu inisialisasi WalletService melalui API publik WalletManager.RequestStoreAsync. Setelah callback SYSTEM dijalankan, penyerang menggunakan temporary service broker untuk memindahkan token SYSTEM ke sesi interaktif dan menjalankan cmd.exe sebagai NT AUTHORITY\SYSTEM tanpa meninggalkan artefak residu. CVSS 3.1 skor untuk kerentanan ini adalah 7.8 (Important), memetakan ke CWE-269 dan CWE-59.
DAMPAK TERHADAP INDONESIA
Windows 11 semakin banyak diadopsi oleh instansi pemerintah, BUMN, dan korporasi swasta di Indonesia sebagai endpoint utama. WalletService merupakan komponen bawaan yang tidak bisa dinonaktifkan dengan mudah tanpa mengganggu fungsionalitas sistem. Kerentanan LPE seperti ini memungkinkan penyerang yang berhasil masuk sebagai user biasa — misalnya melalui phishing atau malware dropper — untuk langsung meningkatkan privilege ke level tertinggi pada workstation. Dampaknya sangat serius bagi lingkungan di mana data sensitif negara atau rahasia dagang disimpan di perangkat lokal tanpa enkripsi endpoint yang memadai.
REKOMENDASI MITIGASI
Administrator sistem harus segera menerapkan patch Windows build 26200.8875 atau lebih baru yang secara total menonaktifkan operasi ESE selama inisialisasi WalletService. Tim keamanan disarankan untuk mengaktifkan Process Monitoring ETW agar bisa mendeteksi module load anomali ke dalam svchost.exe dari path user profile seperti %LOCALAPPDATA%. Selain itu, perubahan pada registry known folder per pengguna sebelum aktivasi service yang berjalan dengan hak tinggi harus dipantau sebagai indikator early-warning. Penerapan Local Administrator Password Solution (LAPS) dan pembatasan hak user biasa juga bisa mengurangi kemungkinan penempatan file berbahaya di lokasi strategis.
Analisa Retasan
Trust boundary violation merupakan root cause utama pada CVE-2026-49176, di mana service menggunakan identitas pemanggil untuk memilih pathname sebelum menyeberang boundary hak akses. Pola ini mirip dengan kerentanan LPE klasik pada service Windows yang tidak tepat dalam menangani impersonation token saat melakukan operasi filesystem. Namun, yang membuat kasus ini unik adalah kombinasi dengan ESE persisted callbacks, yang menghadirkan primitive eksekusi kode langsung saat database dibuka. Fitur ESE user-defined-default memang dirancang untuk database tepercaya, namun ketika service yang berjalan sebagai SYSTEM mengonsumsi database yang dibuat oleh user dengan hak lebih rendah, fitur tersebut berubah menjadi execution primitive yang reliable. Microsoft merespons dengan cara yang paling bersih: mematikan seluruh operasi ESE pada WalletService, yang menunjukkan bahwa surface area fitur legacy ini tidak bisa dipertahankan dengan aman pada konteks modern.
Dari perspektif teknik exploit development, rantai ini menarik karena sepenuhnya beroperasi di user-mode tanpa memerlukan kernel exploit, driver manipulation, atau bypass terhadap mitigasi modern seperti Control Flow Guard (CFG) serta Hypervisor-Protected Code Integrity (HVCI). Known-folder redirection sudah lama dikenal sebagai teknik path injection yang powerful, namun penggabungannya dengan database engine callback memberikan konteks eksekusi yang jauh lebih bersih daripada sekadar menulis file arbitrary. Penyerang bahkan tidak perlu memenangkan race condition karena database yang sudah di-seed tinggal dibuka oleh service sesuai alur normalnya. Hal ini menunjukkan bahwa primitif reliable execution dalam user-mode masih sangat banyak, terutama pada komponen OS yang menggunakan arsitektur lama.
Bagi lanskap keamanan siber Indonesia, kerentanan ini menjadi pengingat bahwa patching sistem operasi Windows tidak bisa ditunda atau dijadwalkan semaunya. Banyak organisasi, terutama di sektor publik, masih menggunakan mekanisme update manual atau WSUS dengan jadwal yang tidak teratur, meninggalkan window of exposure dalam hitungan minggu atau bulan. LPE seperti CVE-2026-49176 sering kali digunakan sebagai stage kedua setelah initial access berhasil, artinya risikonya tidak hanya pada workstation individu tetapi juga pada seluruh jaringan ketika penyerang memanfaatkan SYSTEM access untuk melakukan lateral movement. Program hardening endpoint yang mencakup aktivasi Credential Guard, pembatasan known folder redirection, dan pemantauan service creation harus menjadi standar minimum pada setiap perangkat Windows yang menangani data sensitif, bukan sekadar opsional yang diterapkan pada unit tertentu saja.
Sumber: David Carliez, core-jmp.org
