CVE-2023-36407

Ceci est un poc pour CVE-2023-36407, une vulnérabilité d'élévation de privilèges dans Hyper-V.

https://github.com/pwndorei/CVE-2023-36407/assets/96749184/a8ef87d3-e0d0-40e5-9b23-35ab057a9c78

Vulnérabilité

• Lecture/écriture hors limites depuis/vers le pool non paginé via winhvr.sys!WinHvGet/SetVpState

Étapes de reproduction

• Environnement utilisé : Windows 11 22H2 x64
• Correctif : kb5031354
• code de contrôle pour WinHvSetVpState : 0x221268
  • si le poc ne fonctionne pas, analysez Vid.sys pour trouver le code de contrôle pour WinHvSetVpState et modifiez-le

Compilation

Compilez simplement le projet (Release/x64), puis CVE-2023-36407.exe sera généré.

Reproduction

1. exécutez CVE-2023-36407.exe sur un hôte Hyper-V vulnérable (partition racine)
2. Boum

Comment ça fonctionne ?

1. CVE-2023-36407.exe appelle DeviceIoControl, qui invoque winhvr.sys!WinHvSetVpState
2. Dans WinHvSetVpState, memcpy copie les données du tampon d'entrée (contrôlé par l'utilisateur) vers la mémoire du pool non paginé
   • la longueur des données à copier dépend de la longueur des données d'entrée
3. La mémoire du pool non paginé a une taille de 0x1000 octets et il n'y a pas de vérification de taille pour l'entrée avant d'appeler memcpy
   • BOF dans le pool non paginé
4. Un BSOD se produit en raison de la corruption