CVE-2021-40449

Mein Exploit für CVE-2021-40449, eine Windows-LPE durch eine UAF in win32kfull!GreResetDCInternal.

kurze wu

Neben der UAF-Schwachstelle werden weitere Primitive verwendet, um diesen Exploit zu ermöglichen:

• Leaken der access token-Adresse des Exploits in Ring0 über die NtQuerySystemInformation()-Funktion mit dem SystemHandleInformation-Parameter.
• Verwenden von rtlSetAllBits() als Gadget, um die access_token.privileges des Exploits mit 0xFFs zu überschreiben.
• Leaken der rtlSetAllBits()-Adresse in Ring0 durch Leaken der Basisadresse des Moduls ntoskrnl.exe über die EnumDeviceDrivers()-Funktion.
• Erstellen des Gadget-Parameters BitMapHeader so, dass wir die access_token.privileges des Exploits überschreiben können.
• Allozieren des erstellten BitMapHeader über das NtSetInformationThread()-Primitiv und Leaken der Allokationsadresse im Big Pool über die NtQuerySystemInformation()-Funktion mit dem SystemBigPoolInformation-Parameter.
• Um mit der verwundbaren Funktion zu interagieren, listen wir zuerst Drucker im System über EnumPrinters() auf, laden den Treiber eines davon, haken dann die Aufrufe an die Usermode-Callback-Funktion DrvEnablePDEV().
• Im Hook leiten wir den Aufruf an die ursprüngliche DrvEnablePDEV()-Funktion weiter, führen die Exploit-Aktionen aus und geben dann das zurück, was vom weitergeleiteten Aufruf an die GDI zurückgegeben wird.
• Auslösen der UAF durch einen zweiten Aufruf von ResetDC() im gehookedten DrvEnablePDEV().
• Rückgewinnen des freigegebenen PDC-Objekts durch Sprühen eines konstruierten Objekts derselben Größe unter Verwendung des CreatePalette()-Primitivs.
• Missbrauchen des neu erworbenen SeDebugPrivilege-Rechts, um NT AUTHORITY\SYSTEM zu erhalten, indem Shellcode in den winlogon.exe-Prozess injiziert wird.

Weitere Informationen finden Sie in diesem Artikel von Kaspersky.

PoC

getestet auf Win10 Redstone (Build 14393).