CVE-2021-27965

PoC بسيط لاستغلال CVE-2021-27965 من أجل LPE عن طريق إطلاق cmd للنظام.

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-27965

تم اكتشاف مشكلة في برنامج تشغيل ويندوز MICSYS الموقّع (MsIo64.sys) مما قد يؤدي إلى اختراق النظام المحلي بالكامل. يعاني روتين إرسال IOCTL الخاص ببرنامج التشغيل من فيضان في المخزن المؤقت (stack based buffer overflow) في جميع رموز IOCTL، كما يفتقر إلى التحقق من صحة المخزن المؤقت المقدم من المستخدم.

IOCTL

يمكن لأي شخص إنشاء مؤشر (handle) وإرسال طلبات ioctl إلى رموز ioctl هذه التي تخترق نموذج أمان ويندوز:

• 0x80102040 - تعيين الذاكرة الفيزيائية العشوائية في العملية المتصلة والوصول غير المحقق للمؤشر (احتمال تعطل النظام/DoS)
• 0x80102044 - إلغاء تعيين الذاكرة الفيزيائية والوصول غير المحقق للمؤشر (احتمال تعطل النظام/DoS)
• 0x80102050 - قراءة منفذ عشوائي (بايت، كلمة، كلمة مزدوجة)
• 0x80102054 - كتابة منفذ عشوائي (بايت، كلمة، كلمة مزدوجة)

فيضان المخزن المؤقت (Stack Buffer Overflow)

في كل رمز IOCTL، لا يصل برنامج التشغيل مباشرة إلى Irp->SystemBuffer بل يستخدم دالة مشابهة لـ memcpy لنسخ Irp->SystemBuffer إلى المخزن المؤقت لإطار المكدس (stack frame) الخاص بالدالة الحالية، والذي دائمًا ما يكون بحجم ثابت (ثم يستخدم هذا المخزن المؤقت). نظرًا لأن كلاً من Irp->SystemBuffer و Irp->CurrentStackLocation->InputBufferLength يتم التحكم فيهما من قبل العملية المتصلة، يمكن لمهاجم ضار إرسال مخزن مؤقت كبير بما يكفي لتجاوز المخزن الموجود داخل إطار المكدس الخاص بالدالة. يُلاحظ: حتى إذا كان في DriverEntry يوجد __security_init_cookie()، ففي إرسال ioctl يفتقد __security_check_cookie() لسبب ما.

ترجمة PoC

TODO

تم الاختبار على

TODO