CVE-2025-21333

Débordement de tas (Paged Pool) dans Hyper-V NT Kernel Integration VSP (vkrnlintvsp.sys) → élévation de privilèges locale (LPE).
Ce répertoire contient le code source du PoC de laboratoire (basé sur MrAle98/CVE-2025-21333-POC, incluant des correctifs locaux).

1. Résumé de la vulnérabilité

Cause racine

Dans VkiRootAdjustSecurityDescriptorForVmwp :

1. La longueur d'allocation est calculée avec un WORD : AclSize + sid1 + sid2 + 16
2. Lorsque AclSize = 0xfff0, la somme vaut 0x10040 → tronquée à 0x40
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize) copie toujours l'intégralité de 0xfff0

Inéquation clé : allocatedBytes(0x40) < accessEnd(0xfff0).

Confirmation dynamique sous KD :

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

Chemin de déclenchement

Nécessite l'activation de Windows Sandbox (et de Nested Virtualization) pour que les syscalls concernés atteignent vkrnlintvsp.sys :

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. Version du système pour la reproduction

La 23H2 corrigée (≥ 22631.4751) n'est pas reproductible. Nécessite l'activation de Nested Virtualization + Windows Sandbox.

3. Chaîne d'exploitation (résumé)

1. Spray de WNF_STATE_DATA
2. Construction d'un AclSize=0xfff0 via Dual-ACE, déclenche le débordement, agrandit le DataSize du WNF adjacent
3. Libère deux trous, puis réalloue : IrRB (I/O Ring RegBuffers) + NpAt (PipeAttribute)
4. Écrase une entrée des RegBuffers → forge un IOP_MC_BUFFER_ENTRY en mode utilisateur
5. IoRing Read/Write → lecture/écriture arbitraire dans le noyau
6. Remplacement du token → PRIV_ESC_OK → shell SYSTEM visible lié à la session

Disposition attendue : 0x30 IrRB + 0x80 NpAt (nécessite found1=1 && found2=1).

4. Points clés de stabilisation locale (22631.3447)

Exigences non négociables par rapport à l'amont :

La disposition du spray de tas est non déterministe : l'élévation de privilèges n'est pas garantie à 100 % ; en cas d'échec, réessayer.

5. Liens de référence

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• Analyse amont : https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• PoC amont : https://github.com/MrAle98/CVE-2025-21333-POC
• Primitive I/O Ring : https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/