CVE-2022-24481-POC

TL;DR

Este PoC está extraído del exp (SHA1:fec933b0c46366a1fb272bfaf82a8262597a8d75) y muchos motores antivirus lo detectaron como CVE-2022-24521. Después de analizarlo, descubrí que probablemente sea el exp para CVE-2022-24481, porque CVE-2022-24521 no es una vulnerabilidad de confusión de tipo. El error es causado por una manipulación incorrecta del puntero CLFS_CONTAINER_CONTEXT.pContainer, el cual es invocado en la función CClfsContainer::Close. Por lo tanto, si se modifica previamente, puede ejecutar código arbitrario. Pero, ¿cómo modificar este puntero? El RCA del exp (fec933b0c46366a1fb272bfaf82a8262597a8d75) es el siguiente:

1. El exp modifica CLFS_BASE_RECORD_HEADER.rgClients al offset de CLFS_CONTAINER_CONTEXT.
2. En la función CClfsLogFcbPhysical::Initialize, se leen algunos valores en memoria desde CLFS_BASE_RECORD_HEADER.rgClients (el offset de CLFS_CONTAINER_CONTEXT).
3. CClfsBaseFilePersisted::LoadContainerQ genera el puntero a la clase Container y lo asigna a CLFS_CONTAINER_CONTEXT.pContainer.
4. En la función CClfsRequest::Cleanup, se escribe el valor del paso 2 en el contexto del cliente, que es el mismo que el contexto del contenedor en memoria.
5. En la función CClfsRequest::Close, se analiza CLFS_CONTAINER_CONTEXT y se llama a pContainer (desencadenante).