CVE-2023-36407

Este es un PoC para CVE-2023-36407, la Vulnerabilidad de Elevación de Privilegios en Hyper-V.

https://github.com/pwndorei/CVE-2023-36407/assets/96749184/a8ef87d3-e0d0-40e5-9b23-35ab057a9c78

Vulnerabilidad

• Lectura/Escritura OOB desde/hacia el Non-paged Pool mediante winhvr.sys!WinHvGet/SetVpState

Pasos de Reproducción

• Entorno que usé: Windows 11 22H2 x64
• Parche: kb5031354
• Código de control para WinHvSetVpState: 0x221268
  • Si el PoC no funciona, analiza Vid.sys para averiguar el código de control para WinHvSetVpState y cámbialo

Compilación

Simplemente compila el proyecto (Release/x64), y se generará CVE-2023-36407.exe.

Reproducción

1. Ejecuta CVE-2023-36407.exe en un host Hyper-V vulnerable (Root Partition)
2. Boom

¿Cómo funciona?

1. CVE-2023-36407.exe llama a DeviceIoControl, que invoca winhvr.sys!WinHvSetVpState
2. En WinHvSetVpState, memcpy copia datos del búfer de entrada (controlado por el usuario) a la memoria del Non-paged Pool
   • La longitud de los datos a copiar depende de la longitud de los datos de entrada
3. La memoria del Non-paged Pool tiene un tamaño de 0x1000 bytes y no hay verificación de tamaño para la entrada antes de llamar a memcpy
   • BOF en el Non-paged Pool
4. Se produce un BSOD debido a la corrupción