CVE-2025-21333

Hyper-V NT Kernel Integration VSP (vkrnlintvsp.sys) Paged-Pool-Heapüberlauf → lokale Rechteausweitung (LPE).
Dieses Verzeichnis enthält den PoC-Quellcode für das Labor (basiert auf MrAle98/CVE-2025-21333-POC, inklusive lokalem Patch).

1. Schwachstellenübersicht

Grundursache

In VkiRootAdjustSecurityDescriptorForVmwp:

1. Die Allokationslänge wird mit WORD berechnet: AclSize + sid1 + sid2 + 16
2. Bei AclSize = 0xfff0 ergibt die Summe 0x10040 → abgeschnitten auf 0x40
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize) kopiert weiterhin mit voller 0xfff0-Länge

Kernungleichung: allocatedBytes(0x40) < accessEnd(0xfff0).

Dynamische Bestätigung per KD:

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

Trigger-Pfad

Windows Sandbox (sowie verschachtelte Virtualisierung) muss aktiviert sein, damit die betreffenden Syscalls in vkrnlintvsp.sys gelangen:

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. Systemversion für die Reproduktion

Gepatchtes 23H2 (≥ 22631.4751) ist nicht reproduzierbar. Nested Virtualization + Windows Sandbox müssen aktiviert sein.

3. Exploit-Kette (kurz)

1. WNF_STATE_DATA sprayen
2. Dual-ACE konstruiert AclSize=0xfff0, löst den Überlauf aus und vergrößert das DataSize des benachbarten WNF
3. Free der beiden Lücken, dann Allokation: IrRB (I/O Ring RegBuffers) + NpAt (PipeAttribute)
4. Einen Eintrag in RegBuffers überschreiben → im Userland gefälschter IOP_MC_BUFFER_ENTRY
5. IoRing Read/Write → beliebiges Lesen und Schreiben im Kernel
6. Token ersetzen → PRIV_ESC_OK → sitzungsgebundene sichtbare SYSTEM-Shell

Erwartetes Layout: 0x30 IrRB + 0x80 NpAt (found1=1 && found2=1 erforderlich).

4. Lokale Stabilisierungspunkte (22631.3447)

Unverzichtbare Bedingungen gegenüber dem Upstream:

Das Heap-Spray-Layout ist nicht deterministisch; die Rechteausweitung ist nicht 100%. Bei Fehlschlag kann erneut versucht werden.

5. Referenzlinks

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• Upstream-Analyse: https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• Upstream-PoC: https://github.com/MrAle98/CVE-2025-21333-POC
• I/O-Ring-Primitive: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/