ly4k/callbackhellExploit pour CVE-2021-40449 - Vulnérabilité d'élévation de privilèges Win32k (LPE)
Exploit pour CVE-2021-40449 (Win32k - LPE)
CVE-2021-40449 est une use-after-free dans Win32k qui permet une élévation de privilèges locale.
La vulnérabilité a été découverte dans la nature par Kaspersky.
L'exploit découvert a été écrit pour prendre en charge les produits Windows suivants :
Cependant, cet exploit n'est actuellement testé que sur les versions suivantes :
Je recommande vivement la lecture de l'analyse technique de Kaspersky avant de continuer.
Comme mentionné dans l'analyse technique de Kasperky, la vulnérabilité existe dans GreResetDCInternal. Si un attaquant hooke le callback en mode utilisateur DrvEnablePDEV, qui est appelé pendant hdcOpenDCW, il est possible de détruire le contexte de périphérique d'origine en appelant ResetDC, ce qui provoque une use-after-free dans le noyau lorsque le callback en mode utilisateur retourne.
Le pseudo-code suivant est partiellement issu du code source divulgué de Windows XP et du reverse engineering de la dernière version (avant le correctif) de GreResetDCInternal de Win32kfull.sys. Les parties non pertinentes ont été supprimées avec [...]. Recherchez les commentaires VULN: .
BOOL GreResetDCInternal(
HDC hdc,
DEVMODEW *pdmw,
BOOL *pbBanding,
DRIVER_INFO_2W *pDriverInfo2,
PVOID ppUMdhpdev)
{
// [...]
HDC hdcNew;
{
// Create DCOBJ from HDC
DCOBJ dco(hdc);
if (!dco.bValid())
{
SAVE_ERROR_CODE(ERROR_INVALID_HANDLE);
}
else
{
// Create DEVOBJ from `dco`
PDEVOBJ po(dco.hdev());
// [...]
// Create the new DC
// VULN: Can result in a usermode callback that destroys old DC, which
// invalidates `dco` and `po`
hdcNew = hdcOpenDCW(L"",
pdmw,
DCTYPE_DIRECT,
po.hSpooler,
prton,
pDriverInfo2,
ppUMdhpdev);
if (hdcNew)
{
po->hSpooler = NULL;
DCOBJ dcoNew(hdcNew);
if (!dcoNew.bValid())
{
SAVE_ERROR_CODE(ERROR_INVALID_HANDLE);
}
else
{
// Transfer any remote fonts
dcoNew->pPFFList = dco->pPFFList;
dco->pPFFList = NULL;
// Transfer any color transform
dcoNew->pCXFList = dco->pCXFList;
dco->pCXFList = NULL;
PDEVOBJ poNew((HDEV)dcoNew.pdc->ppdev());
// Let the driver know
// VULN: Method is taken from old (possibly destroyed) `po`
PFN_DrvResetPDEV rfn = po->ppfn[INDEX_DrvResetPDEV];
if (rfn != NULL)
{
(*rfn)(po->dhpdev, poNew->dhpdev);
}
// [...]
}
}
}
}
// Destroy old DC
// [...]
}
Comme on peut le voir dans le pseudo-code, l'ancien contexte de périphérique peut être libéré dans un callback en mode utilisateur depuis l'appel hdcOpenDCW, et plus tard, la méthode DrvResetPDEV est récupérée depuis l'ancien contexte de périphérique et appelée avec (po->dhpdev, poNew->dhpdev).
Pour créer et hooker un contexte de périphérique, on peut procéder comme suit :
EnumPrintersOpenPrinter, GetPrinterDriver et LoadLibraryExAGetProcAddress et DrvEnableDriverVirtualProtectCreateDC(NULL, printerName, NULL, NULL)Nous devrions maintenant avoir un contexte de périphérique pour une imprimante avec des callbacks en mode utilisateur hookés.
Nous ne nous intéressons qu'à un seul hook, à savoir DrvEnablePDEV. Ce hook est intéressant à deux égards : déclencher l'UAF (use-after-free) et contrôler les arguments, comme décrit précédemment. Pour déclencher la vulnérabilité UAF, nous appellerons ResetDC à l'intérieur du hook, ce qui détruira l'ancien contexte de périphérique. Lorsque nous revenons du hook, nous serons toujours à l'intérieur du premier GreResetDCInternal, qui peu après récupérera et appellera le pointeur de fonction pour DrvResetPDEV depuis notre ancien contexte de périphérique détruit avec les deux arguments retournés par DrvEnablePDEV : l'ancien et le nouveau DHPDEV.
Si votre processus s'exécute avec un niveau d'intégrité moyen, KASLR ne devrait pas poser de problème à l'aide de EnumDeviceDrivers et NtQuerySystemInformation.
Kaspersky mentionne que l'exploit original utilisait des objets de palette GDI et un seul appel de fonction noyau pour obtenir une lecture/écriture mémoire arbitraire. Cet exploit utilise une technique pour allouer un BitMapHeader sur le grand pool et RtlSetAllBits pour activer tous les privilèges sur notre jeton de processus actuel. Le BitMapHeader pointera vers _SEP_TOKEN_PRIVILEGES de notre jeton de processus actuel. En appelant RtlSetAllBits(BitMapHeader), il est possible d'activer tous les privilèges pour notre jeton de processus actuel avec un seul appel de fonction noyau. À partir de là, on peut abuser des nouveaux privilèges pour obtenir SYSTEM. Cet exploit utilise SeDebugPrivilege pour injecter du shellcode dans le processus winlogon.exe.
