Fortinet fortimon3_74.sys - تجاوز PPL عبر أمر إنهاء غير مُصادَق عليه

نظرة عامة

تسمح ثغرة أمنية في برنامج تشغيل النواة fortimon3_74.sys الخاص بـ Fortinet (فلتر minifilter "مكافحة الاستغلال" الخاص بـ FortiClient) لأي مسؤول محلي بإنهاء أي عملية - بما في ذلك العمليات المحمية بـ PPL (Protected Process Light) مثل Windows Defender (MsMpEng.exe) و lsass.exe - عن طريق إرسال رسالة من 8 بايت إلى منفذ اتصال غير مُصادَق عليه.

لا يوجد تجاوز سعة المخزن المؤقت. لا يوجد رش الكومة. لا توجد سلسلة ROP. فقط 8 بايت.

تفاصيل الثغرة

يكشف برنامج التشغيل عن منفذ اتصال minifilter بدون مصادقة للمتصل. يقبل رسالة بسيطة من 8 بايت:

struct {
    DWORD magic;  // 0x6C6C696B ("kill" in little-endian ASCII)
    DWORD pid;    // Target process ID
};

عند استلام هذه الرسالة، يستدعي برنامج التشغيل ZwOpenProcess مع PROCESS_ALL_ACCESS من وضع النواة (متجاوزًا فحوصات PPL)، ثم ZwTerminateProcess. لا يتم إجراء أي تحقق من صحة على المتصل أو الهدف.

مشكلة إضافية: تسرب المقبض

يتم إنشاء مقبض ZwOpenProcess في جدول مقابض المتصل (علامة OBJ_KERNEL_HANDLE مفقودة)، مما يخلق نافذة قصيرة حيث يمكن لمهاجم في وضع المستخدم نسخ مقبض PROCESS_ALL_ACCESS إلى عملية محمية بـ PPL مثل lsass.exe - مما يتيح سرقة بيانات الاعتماد دون إنهاء العملية.

الأسباب الجذرية

1. لا توجد مصادقة للمتصل - يمكن لأي عملية مسؤول الاتصال بالمنفذ
2. لا يوجد تحقق من الهدف - يتم قبول أي PID، بما في ذلك العمليات الحيوية للنظام
3. امتياز مفرط - يتم استخدام PROCESS_ALL_ACCESS بدلاً من PROCESS_TERMINATE
4. إساءة استخدام جدول المقابض - علامة OBJ_KERNEL_HANDLE المفقودة تكشف مقبض النواة لوضع المستخدم

العرض التوضيحي

إنهاء lsass.exe (محمي بـ PPL)

عرض توضيحي بالفيديو

شاهد العرض التوضيحي الكامل - يوضح تجاوز PPL ضد العمليات المحمية.

الملفات

البناء والاستخدام

cl.exe poc.c /Fe:poc_kill.exe
poc_kill.exe MsMpEng.exe

يتطلب: امتيازات مسؤول محلي، تحميل fortimon3_74.sys.

الإفصاح

• تم الإبلاغ إلى Fortinet PSIRT مع التفاصيل التقنية الكاملة، وإثبات المفهوم، والعرض التوضيحي بالفيديو
• الحالة: مكرر (باحث آخر أبلغ عن نفس المشكلة)

me1n