تحليل CVE-2023-36802

مرحبًا بك في مقالتي ودليلي التفصيلي لـ CVE-2023-36802، وهي ثغرة تصعيد صلاحيات محلية في Microsoft Kernel Streaming Server
(mskssrv.sys).

بماذا كانت تتعلق هذه الثغرة؟

• كان الخطأ موجودًا في mskssrv.sys، وهو برنامج تشغيل يساعد Windows على التعامل مع بث الوسائط المتعددة (مثل الكاميرات).
• كان خطأ خلط أنواع (type confusion) كلاسيكيًا:
  • كان من الممكن أن يُخلط خطأً بين كائن Context صغير (0x78 بايت) وكائن Stream بحجم 0x1d8 بايت.
  • كان برنامج التشغيل يثق بشكل أعمى في النوع ويصل إلى ذاكرة تتجاوز الكائن الفعلي → تلف خارج الحدود.
• الفرق في الحجم (0x160 بايت) يعني أن برنامج التشغيل كان سيبدأ بقراءة أو كتابة أي ذاكرة مجاورة في كومة النواة.

قم ببناء ملف sln باستخدام Visual Studio 2022

تشغيل إثبات المفهوم (POC):

exploit.exe PID # ابحث عن pid باستخدام 'tasklist | findstr <process.exe>'