CVE-2025-21333

Desbordamiento de montón (Paged Pool) en Hyper-V NT Kernel Integration VSP (vkrnlintvsp.sys) → escalada de privilegios local (LPE). Este directorio contiene el código fuente del PoC de laboratorio (basado en MrAle98/CVE-2025-21333-POC, con parches locales).

1. Resumen de la vulnerabilidad

Causa raíz

En VkiRootAdjustSecurityDescriptorForVmwp:

1. La longitud de asignación se calcula con WORD: AclSize + sid1 + sid2 + 16
2. Cuando AclSize = 0xfff0, la suma es 0x10040 → se trunca a 0x40
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize) aún copia el 0xfff0 completo

Desigualdad clave: allocatedBytes(0x40) < accessEnd(0xfff0).

Confirmación dinámica con KD:

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

Ruta de activación

Se requiere habilitar Windows Sandbox (y Virtualización Anidada) para que la syscall relevante entre en vkrnlintvsp.sys:

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. Versión del sistema para reproducción

El 23H2 parcheado (≥ 22631.4751) no es reproducible. Se requiere habilitar Virtualización Anidada + Windows Sandbox.

3. Cadena de explotación (resumen)

1. Spray de WNF_STATE_DATA
2. Construcción Dual-ACE de AclSize=0xfff0, se dispara el desbordamiento y se amplía el DataSize del WNF adyacente
3. Liberar los dos huecos y reasignar: IrRB (I/O Ring RegBuffers) + NpAt (PipeAttribute)
4. Sobrescribir una entrada en RegBuffers → falsificar IOP_MC_BUFFER_ENTRY en modo usuario
5. IoRing Read/Write → lectura/escritura arbitraria en el kernel
6. Reemplazo de token → PRIV_ESC_OK → shell SYSTEM visible vinculada a la sesión

Disposición esperada: 0x30 IrRB + 0x80 NpAt (requiere found1=1 && found2=1).

4. Puntos clave para la estabilización en esta máquina (22631.3447)

Contratos ineludibles respecto al upstream:

La disposición del heap spray no es determinista; la escalada no es 100%. Si falla, se puede reintentar.

5. Enlaces de referencia

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• Análisis upstream: https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• PoC upstream: https://github.com/MrAle98/CVE-2025-21333-POC
• Primitiva I/O Ring: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/