CVE-2021-21551

PoC simple para explotar CVE-2021-21551 para LPE ejecutando cmd del sistema.

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-21551

Se descubrió un problema en el controlador firmado de Dell para Windows (dbutil_2_3.sys) que puede llevar al compromiso de todo el sistema local. La rutina de despacho de ioctl del controlador carece de validación del búfer proporcionado por el usuario.

IOCTL

Cualquier persona puede crear un identificador y emitir solicitudes ioctl a estos códigos ioctl que rompen el modelo de seguridad de Windows:

• 0x9b0c1f40 - lectura arbitraria de memoria física
• 0x9b0c1f44 - escritura arbitraria de memoria física
• 0x9b0c1ec4 - lectura arbitraria de memoria del núcleo
• 0x9b0c1ec8 - escritura arbitraria de memoria del núcleo
• 0x9b0c1ecc - parámetros controlados para la llamada a MmFreeContiguousMemorySpecifyCache
• 0x9b0c1ec0 - parámetros controlados para la llamada a MmAllocateContiguousMemorySpecifyCache
• 0x9b0c1f00 & 0x9b0c1f8c & 0x9b0c1f88 & 0x9b0c1f84 & 0x9b0c1f80 - acceso a algunos puertos

Compilación del PoC

Este PoC explota los códigos ioctl 0x9b0c1ec4/0x9b0c1ec8 para lectura/escritura arbitraria de memoria del núcleo respectivamente. Primero localiza PsInitialSystemProcess en el kernel para obtener el token del sistema y luego escribe este token en la estructura EPROCESS del proceso actual. Antes de compilar, actualice sus offsets de EPROCESS para evitar un BSOD usando https://www.vergiliusproject.com/

DWORD EPROCESS_ActiveProcessLinks = 0x2e8;
DWORD EPROCESS_Token = 0x348;

Use Visual Studio para compilar (requiere el encabezado de Windows). Encabezado SDK de Ntdll: https://github.com/mathisvickie/segy-software/blob/main/external/ntdll.h

Ejecución

Probado en:

• Windows 8
• Windows 10 2004
• Windows 10 20H2

Un exploit exitoso ejecutará cmd del sistema. Si obtiene un bugcheck PAGE_FAULT_IN_NONPAGED_AREA, es probable que los offsets sean incorrectos. Salida de ejemplo: