CVE-2024-26160 (ثغرة كشف معلومات في cldflt.sys)

هناك شرح مختصر حول CVE-2024-26160، والذي يمكن العثور عليه في تصحيح فبراير (KB5034765، ويندوز 11 22H2، ويندوز 11 23H2). تم إصلاح الثغرة في تصحيح مارس (KB5035853).

التحليل

تقع الثغرة في الدالة CldiPortProcessGetRangeInfo، حيث أنها لا تتحقق من حجم المخزن المؤقت المُمرَّر من تطبيق المستخدم. نظرًا لأن الحجم يمكن التحكم فيه من قبل المستخدم، فإن memmove، التي تنسخ المعلومات المُعادة، يمكنها اقتطاع تجمع ذاكرة مجاور يحتوي على عناوين kernel إذا تم تمرير الحجم بشكل صحيح.

يقدم تصحيح مارس (KB5035853) فحصًا إضافيًا لحجم المخزن المؤقت.

في الظروف العادية، يتم استدعاء الدالة الضعيفة عندما يتم استدعاء الدالة CfGetPlaceholderRangeInfoForHydration، وهي تحتوي على حجم ثابت للمخزن المؤقت المُعاد، لذا من الضروري إنشاء حزمة بيانات ستصل إلى استدعاء الدالة الضعيفة. يمر استدعاء الدالة المطلوبة عبر الدالة ، حيث يجب التحقق من صحة جميع الحزم، بما في ذلك بعض الحزم المحددة.