CVE-2025-21333

Hyper-V NT Kernel Integration VSP (vkrnlintvsp.sys) Paged Pool ढेर ओवरफ्लो → स्थानिक विशेषाधिकार वृद्धि (LPE)।
यह निर्देशिका प्रयोगशाला के लिए PoC स्रोत कोड है (MrAle98/CVE-2025-21333-POC पर आधारित, स्थानीय पैच सहित)।

1. भेद्यता सारांश

मूल कारण

VkiRootAdjustSecurityDescriptorForVmwp में:

1. WORD का उपयोग करके आवंटन लंबाई की गणना: AclSize + sid1 + sid2 + 16
2. AclSize = 0xfff0 होने पर योग 0x10040 → छोटा करके 0x40
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize) अभी भी पूर्ण 0xfff0 कॉपी करता है

मुख्य असमानता: allocatedBytes(0x40) < accessEnd(0xfff0)।

KD गतिशील पुष्टि:

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

ट्रिगर पथ

Windows Sandbox (और Nested Virtualization) सक्षम होना चाहिए ताकि संबंधित syscall vkrnlintvsp.sys में प्रवेश करें:

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. पुनरुत्पादन सिस्टम संस्करण

पैच किया गया 23H2 (≥ 22631.4751) पुनरुत्पादित नहीं किया जा सकता। Nested Virtualization + Windows Sandbox सक्षम होना चाहिए।

3. शोषण श्रृंखला (संक्षिप्त)

1. WNF_STATE_DATA स्प्रे करें
2. Dual-ACE निर्माण AclSize=0xfff0, ओवरफ्लो ट्रिगर करता है, पड़ोसी WNF DataSize को बढ़ाता है
3. दो छेद मुक्त करें, फिर आवंटित करें: IrRB (I/O Ring RegBuffers) + NpAt (PipeAttribute)
4. RegBuffers में एक आइटम ओवरराइट करें → उपयोगकर्ता-मोड नकली IOP_MC_BUFFER_ENTRY
5. IoRing Read/Write → कर्नेल में मनमाना पढ़ना/लिखना
6. Token प्रतिस्थापन → PRIV_ESC_OK → सत्र बाउंड दृश्य SYSTEM शेल

अपेक्षित लेआउट: 0x30 IrRB + 0x80 NpAt (found1=1 && found2=1 आवश्यक)।

4. स्थानीय स्थिरीकरण बिंदु (22631.3447)

अपस्ट्रीम के सापेक्ष छोड़े नहीं जा सकने वाले अनुबंध:

हीप स्प्रे लेआउट अनियतात्मक है, विशेषाधिकार वृद्धि 100% नहीं; विफलता पर पुनः प्रयास किया जा सकता है।

5. संदर्भ लिंक

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• अपस्ट्रीम विश्लेषण: https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• अपस्ट्रीम PoC: https://github.com/MrAle98/CVE-2025-21333-POC
• I/O Ring प्रिमिटिव: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/