Un score CVSS de 9.8 indique un problème de sévérité quasi maximale nécessitant un correctif immédiat.

2. Ce que nous avons fait

Au cours de cette recherche, nous avons effectué les travaux suivants :

1. Étude de fond sur les CVE
   Explication de ce qu'est une CVE, comment les identifiants sont attribués par MITRE, et quelles informations contient un enregistrement CVE typique.

2. Caractérisation de la vulnérabilité
   Documentation des raisons pour lesquelles CVE-2024-38063 est considérée comme un bug « graal » : aucune authentification, aucune interaction utilisateur, potentiel de propagation autonome (wormable), IPv6 activé par défaut, et impact en mode noyau.

3. Fondamentaux d'IPv6
   Couverture des différences entre IPv4 et IPv6, du rôle des en-têtes d'extension, et des raisons pour lesquelles la fragmentation fonctionne différemment en IPv6.

4. Analyse approfondie de la cause racine
   Traçage du chemin complet des paquets dans tcpip.sys :

   • Comment les en-têtes Destination Options + Fragment interagissent
   • Rôle du regroupement NET_BUFFER_LIST (NBL)
   • Comportement de Ipv6pProcessOptions et IppSendErrorList
   • Sous-dépassement d'entier dans Ipv6pReceiveFragment
   • Inadéquation entre l'allocation 16 bits et la copie 32/64 bits conduisant à un débordement de tas du noyau
   • Chemin du BSOD vers une éventuelle exécution de code à distance

5. Évaluation de la terminologie et de la difficulté
   Création de tableaux clairs expliquant les termes de sécurité, les concepts spécifiques à Windows, et la difficulté relative de chaque étape d'exploitation.

6. Développement d'une preuve de concept
   Création et documentation d'un script Python basé sur Scapy qui construit les paquets invalides Destination Options entrelacés et les fragments IPv6 requis pour déclencher la vulnérabilité.

7. Guide complet de laboratoire isolé
   Rédaction d'instructions pas à pas pour :

   • Configurer des machines virtuelles Kali (attaquant) et Windows non corrigé (cible)
   • Configurer des adresses IPv6 statiques
   • Activer la coalescence de paquets avec bcdedit /set debug on
   • Désactiver le pare-feu
   • Exécuter la PoC et vérifier l'écran bleu de la mort
   • Résoudre les échecs courants

8. Démonstration
   Enregistrement d'une vidéo montrant la configuration complète du laboratoire, l'exécution du script et le crash réussi.

9. Examen du correctif
   Documentation des mises à jour cumulatives officielles d'août 2024 (numéros KB) et de la manière dont le correctif élimine la condition de concurrence.

3. Pourquoi cette vulnérabilité est critique

Le bug possède plusieurs caractéristiques à haut risque :

• Aucune authentification requise – Un attaquant n'a besoin que de la capacité d'envoyer des paquets réseau.
• Aucune interaction utilisateur – La victime n'a pas besoin de cliquer sur des liens, d'ouvrir des fichiers, ni même d'être présente.
• Propagation autonome (wormable) – Une exploitation réussie peut théoriquement se propager automatiquement d'une machine à une autre (similaire en classe à EternalBlue / WannaCry).
• IPv6 activé par défaut – Les systèmes Windows modernes ont IPv6 actif même si le réseau utilise principalement IPv4.
• Impact en mode noyau – La faille se trouve dans tcpip.sys (Ring 0). Une exploitation réussie accorde un contrôle total du système.
• Vecteur d'attaque complexe mais réaliste – Il s'agit d'une condition de concurrence qui nécessite un minutage et un regroupement précis des paquets, rendant l'exploitation fiable non triviale mais réalisable par des attaquants qualifiés.

4. Cause racine technique (résumé)

Composants déclencheurs

La vulnérabilité est déclenchée par une combinaison de deux en-têtes d'extension IPv6 :

1. En-tête Destination Options (nh=60)
   Contient un type d'option invalide (otype > 0x80). Cela force Windows à générer une erreur ICMPv6 Parameter Problem.

2. En-tête Fragment (nh=44)
   Maintient les paquets dans la file de réassemblage IPv6 même après leur corruption.

Chaîne d'attaque

1. L'attaquant envoie un flux rapide de paquets invalides Destination Options entrelacés et de fragments IPv6.
2. Les paquets sont regroupés par NDIS dans un seul NET_BUFFER_LIST (NBL).
3. Ipv6pProcessOptions détecte l'option invalide et transmet le NBL à IppSendErrorList.
4. IppSendErrorList définit incorrectement un indicateur interne et corrompt les paquets suivants du même NBL, forçant leur DataLength à zéro.
5. En raison de l'en-tête Fragment, les paquets de longueur nulle sont toujours placés dans la file de réassemblage au lieu d'être supprimés.
6. Ipv6pReceiveFragment calcule la taille de la charge utile comme 0 − HeaderSize, provoquant un sous-dépassement d'entier (la longueur de la charge utile devient ~4 Go).
7. Un petit tampon est alloué (le calcul de taille 16 bits est tronqué), mais RtlCopyMemory copie la longueur massive sous-dépassée → débordement de tas du noyau.
8. Résultat : écran bleu de la mort (BSOD) ou, avec un contrôle précis du débordement, exécution de code à distance.

Un diagramme détaillé du flux de données et une analyse au niveau des fonctions sont disponibles dans le rapport complet.

5. Contenu du dépôt

Placez les trois fichiers de support à la racine du dépôt (ou mettez à jour les chemins) afin qu'ils restent liés.

6. Exigences de sécurité du laboratoire

• Effectuez tous les tests dans des machines virtuelles strictement isolées (réseau Host-Only ou Internal uniquement).
• N'utilisez jamais une machine de production ni un système connecté à Internet ou à un réseau d'entreprise.
• Le système Windows cible doit rester non corrigé (avant la mise à jour cumulative d'août 2024).
• Activez le débogage du noyau sur la cible (bcdedit /set debug on + redémarrage) pour améliorer la fiabilité de la coalescence des paquets.
• Désactivez le pare-feu Windows pour le réseau du laboratoire.
• Utilisez des adresses IPv6 statiques correspondantes sur l'attaquant et la cible (exemples de valeurs utilisées dans le script : 2001:db8::20 → attaquant, 2001:db8::10 → cible).

Les étapes de configuration complètes, la matrice de dépannage et les instructions de nettoyage sont documentées dans le rapport.

7. Correctif officiel

Microsoft a publié le correctif dans le cadre des mises à jour cumulatives d'août 2024 :

Le correctif introduit un verrouillage approprié autour des chemins de code affectés, éliminant la condition de concurrence qui conduisait au sous-dépassement d'entier et à l'écriture hors limites.

8. Avertissement

Tous les matériels de ce dépôt (rapport, script et vidéo) sont fournis exclusivement à des fins de recherche en sécurité éducative et défensive.

• N'utilisez pas la preuve de concept ni aucune des techniques décrites contre des systèmes que vous ne possédez pas ou pour lesquels vous ne disposez pas d'une autorisation explicite de test.
• L'exécution de ces matériels sur des systèmes de production ou connectés à Internet est illégale et contraire à l'éthique.
• Les auteurs déclinent toute responsabilité en cas d'utilisation abusive ou de dommages résultants.

10. Références

Équipe de recherche

• Mayank
• Surya Prakash
• Hiba