CVE-2022-24481-POC

TL;DR

Dieses poc wurde aus dem Exploit (SHA1:fec933b0c46366a1fb272bfaf82a8262597a8d75) zurückentwickelt und viele AV-Engines haben es als CVE-2022-24521 erkannt. Nach der Analyse stelle ich fest, dass es sich möglicherweise um den Exploit für CVE-2022-24481 handelt, weil CVE-2022-24521 keine Type-Confusion-Schwachstelle ist. Der Fehler wird durch einen falschen Zeiger CLFS_CONTAINER_CONTEXT.pContainer verursacht. Er wird in der Funktion CClfsContainer::Close aufgerufen. Wenn er also vorher modifiziert wurde, kann er beliebigen Code ausführen. Aber wie kann man diesen Zeiger modifizieren? Die RCA des Exploits (fec933b0c46366a1fb272bfaf82a8262597a8d75) ist wie folgt:

1. Der Exploit modifiziert CLFS_BASE_RECORD_HEADER.rgClients auf den Offset von CLFS_CONTAINER_CONTEXT.
2. In der Funktion CClfsLogFcbPhysical::Initialize wird ein Wert aus CLFS_BASE_RECORD_HEADER.rgClients (dem Offset von CLFS_CONTAINER_CONTEXT) in den Speicher gelesen.
3. CClfsBaseFilePersisted::LoadContainerQ generiert den Container-Zeiger der Klasse und füllt ihn in CLFS_CONTAINER_CONTEXT.pContainer.
4. In der Funktion CClfsRequest::Cleanup wird der Wert aus Schritt 2 in den Client-Kontext geschrieben, der im Speicher dem Container-Kontext entspricht.
5. In der Funktion CClfsRequest::Close wird CLFS_CONTAINER_CONTEXT geparst und pContainer(trigger) aufgerufen.