Fortinet fortimon3_74.sys - अनधिकृत Kill कमांड के माध्यम से PPL बायपास

अवलोकन

Fortinet के fortimon3_74.sys कर्नेल ड्राइवर (FortiClient का "anti-exploit" मिनीफ़िल्टर) में एक भेद्यता किसी भी स्थानीय एडमिनिस्ट्रेटर को किसी भी प्रोसेस को समाप्त करने की अनुमति देती है - जिसमें Windows Defender (MsMpEng.exe) और lsass.exe जैसी PPL (Protected Process Light) संरक्षित प्रोसेस भी शामिल हैं - एक अनधिकृत संचार पोर्ट पर 8-बाइट संदेश भेजकर।

कोई बफ़र ओवरफ़्लो नहीं। कोई हीप स्प्रे नहीं। कोई ROP चेन नहीं। बस 8 बाइट्स।

भेद्यता विवरण

ड्राइवर बिना किसी कॉलर प्रमाणीकरण के एक मिनीफ़िल्टर संचार पोर्ट को उजागर करता है। यह एक सरल 8-बाइट संदेश स्वीकार करता है:

struct {
    DWORD magic;  // 0x6C6C696B ("kill" in little-endian ASCII)
    DWORD pid;    // Target process ID
};

यह संदेश प्राप्त होने पर, ड्राइवर कर्नेल मोड से PROCESS_ALL_ACCESS के साथ ZwOpenProcess को कॉल करता है (PPL जाँचों को बायपास करते हुए), फिर ZwTerminateProcess। कॉलर या लक्ष्य पर कोई सत्यापन नहीं किया जाता।

अतिरिक्त समस्या: हैंडल लीक

ZwOpenProcess हैंडल कॉलर की हैंडल टेबल में बनाया जाता है (OBJ_KERNEL_HANDLE फ़्लैग अनुपस्थित), जिससे एक संक्षिप्त विंडो बनती है जहाँ एक यूज़रमोड हमलावर lsass.exe जैसी PPL-संरक्षित प्रोसेस के लिए PROCESS_ALL_ACCESS हैंडल डुप्लिकेट कर सकता है - प्रोसेस को मारे बिना क्रेडेंशियल चोरी को सक्षम करते हुए।

मूल कारण

1. कोई कॉलर प्रमाणीकरण नहीं - कोई भी एडमिन प्रोसेस पोर्ट से कनेक्ट कर सकता है
2. कोई लक्ष्य सत्यापन नहीं - कोई भी PID स्वीकार किया जाता है, जिसमें सिस्टम-क्रिटिकल प्रोसेस भी शामिल हैं
3. अत्यधिक विशेषाधिकार - PROCESS_TERMINATE के बजाय PROCESS_ALL_ACCESS का उपयोग
4. हैंडल टेबल का दुरुपयोग - OBJ_KERNEL_HANDLE फ़्लैग अनुपस्थित होने से कर्नेल हैंडल यूज़रमोड को उजागर होता है

डेमो

lsass.exe Kill (PPL-संरक्षित)

वीडियो डेमो

पूरा डेमो देखें - संरक्षित प्रोसेस के विरुद्ध PPL बायपास प्रदर्शित करता है।

फ़ाइलें

बिल्ड और उपयोग

cl.exe poc.c /Fe:poc_kill.exe
poc_kill.exe MsMpEng.exe

आवश्यक: स्थानीय एडमिनिस्ट्रेटर विशेषाधिकार, fortimon3_74.sys लोडेड।

डिस्क्लोज़र

• पूर्ण तकनीकी विवरण, PoC, और वीडियो डेमो के साथ Fortinet PSIRT को रिपोर्ट किया गया
• स्थिति: Duplicate (एक अन्य शोधकर्ता ने वही समस्या रिपोर्ट की)

me1n