CVE-2022-24481-POC

خلاصة سريعة

تمت هندسة هذا الـ PoC عكسيًا من exp(SHA1:fec933b0c46366a1fb272bfaf82a8262597a8d75)، وقد كشف عنه العديد من محركات مكافحة الفيروسات باعتباره CVE-2022-24521. بعد تحليله، وجدت أنه ربما يكون الـ exp الخاص بـ CVE-2022-24481، لأن CVE-2022-24521 ليست ثغرة من نوع type confusion.

سبب الخلل هو أن مؤشر CLFS_CONTAINER_CONTEXT.pContainer غير صحيح، ويتم استدعاؤه في الدالة CClfsContainer::Close؛ لذا إذا تم تعديله مسبقًا، فسيؤدي إلى تنفيذ أي كود. ولكن كيف يمكن تعديل هذا المؤشر؟

تحليل السبب الجذري (RCA) لـ exp(fec933b0c46366a1fb272bfaf82a8262597a8d75) هو كما يلي:

1. يقوم exp بتعديل CLFS_BASE_RECORD_HEADER.rgClients إلى إزاحة CLFS_CONTAINER_CONTEXT.
2. في الدالة CClfsLogFcbPhysical::Initialize، تُقرأ بعض القيم إلى الذاكرة من CLFS_BASE_RECORD_HEADER.rgClients (إزاحة CLFS_CONTAINER_CONTEXT).
3. تقوم الدالة CClfsBaseFilePersisted::LoadContainerQ بتوليد مؤشر للصنف Container وتخزينه في CLFS_CONTAINER_CONTEXT.pContainer.
4. في الدالة CClfsRequest::Cleanup، تُكتب القيمة من الخطوة 2 إلى سياق العميل (client context) وهو نفسه سياق الحاوية (container context) في الذاكرة.
5. في الدالة CClfsRequest::Close، يتم تحليل CLFS_CONTAINER_CONTEXT واستدعاء pContainer(trigger).