MiniPlasma

Nach erneuter Untersuchung der in GreenPlasma verwendeten Technik (insbesondere SetPolicyVal) stellt sich heraus, dass cldflt!HsmOsBlockPlaceholderAccess immer noch anfällig für das exakt gleiche Problem ist, das Microsoft vor 6 Jahren gemeldet wurde. Ich nehme nicht die volle Anerkennung dafür in Anspruch, James Forshaw von Google Project Zero fand die Schwachstelle und meldete sie Microsoft, und sie wurde angeblich als CVE-2020-17103 behoben.

Allerdings wies ein Forscher, der ein Freund von mir ist, darauf hin, dass die Routine möglicherweise immer noch eine Schwachstelle aufweist, was ich in Betracht zog, aber verwarf, weil ich dachte, es sei unmöglich, dass Microsoft dies einfach nicht patcht oder den Patch zurücknimmt.

Nach einer Untersuchung stellt sich heraus, dass das exakt gleiche Problem, das Microsoft von Google Project Zero gemeldet wurde, tatsächlich immer noch vorhanden und ungepatcht ist. Ich bin mir unsicher, ob Microsoft das Problem nie gepatcht hat oder der Patch irgendwann aus unbekannten Gründen stillschweigend zurückgesetzt wurde. Der ursprüngliche PoC von Google funktionierte ohne Änderungen.

Um dieses Problem zu verdeutlichen, habe ich den ursprünglichen PoC bewaffnet, um eine SYSTEM-Shell zu starten. Es scheint auf meinen Maschinen zuverlässig zu funktionieren, aber die Erfolgsrate kann variieren, da es sich um eine Race-Condition handelt.

Ich glaube, dass alle Windows-Versionen von dieser Schwachstelle betroffen sind.