crackercat/cve-2024-26160cldflt.sys Informationsoffenlegungs-Schwachstelle (KB5034765 - KB5035853, Win 11).
Es gibt einen kurzen Bericht über CVE-2024-26160, eine Schwachstelle, die im Februar-Patch (KB5034765, Windows 11 22H2, Windows 11 23H2) zu finden ist. Die Schwachstelle wurde im März-Patch (KB5035853) behoben.
Die Schwachstelle befindet sich in der Funktion CldiPortProcessGetRangeInfo. Diese überprüft nicht die Puffergröße, die von der Benutzeranwendung übergeben wird. Da die Größe vom Benutzer kontrolliert werden kann, kann memmove, das die zurückgegebenen Informationen kopiert, bei korrekt übergebener Größe einen benachbarten Speicherpool erfassen, der Kernel-Adressen enthält.
Der März-Patch (KB5035853) führt eine zusätzliche Prüfung der Puffergröße ein.
Unter normalen Bedingungen wird die verwundbare Funktion aufgerufen, wenn die Funktion CfGetPlaceholderRangeInfoForHydration aufgerufen wird. Diese enthält eine feste Größe für den zurückgegebenen Puffer. Daher ist es notwendig, ein Datenpaket zu konstruieren, das den Aufruf der verwundbaren Funktion erreicht. Der Aufruf der benötigten Funktion läuft über die Funktion CldiPortNotifyMessage, in der alle Pakete, einschließlich einiger spezifischer, validiert werden müssen.
Es ist wichtig, den Nachrichtentyp zu übergeben, um den Leak auszulösen.
Wenn das Datenpaket korrekt geformt ist, sehen wir ein Adress-Leak.
