CVE-2022-24481-POC

TL;DR

Questa PoC è ricavata dall'exp (SHA1:fec933b0c46366a1fb272bfaf82a8262597a8d75) e molti motori AV l'hanno rilevata come CVE-2022-24521. Dopo averla analizzata, ho scoperto che potrebbe essere l'exp per CVE-2022-24481, perché CVE-2022-24521 non è una vulnerabilità di type confusion. Il bug è causato da un puntatore errato a CLFS_CONTAINER_CONTEXT.pContainer; viene chiamato nella funzione CClfsContainer::Close, quindi se viene modificato prima, eseguirà codice arbitrario. Ma come modificare questo puntatore? La RCA dell'exp (fec933b0c46366a1fb272bfaf82a8262597a8d75) è la seguente:

1. l'exp modifica CLFS_BASE_RECORD_HEADER.rgClients all'offset di CLFS_CONTAINER_CONTEXT.
2. nella funzione CClfsLogFcbPhysical::Initialize, legge un valore in memoria da CLFS_BASE_RECORD_HEADER.rgClients (l'offset di CLFS_CONTAINER_CONTEXT).
3. CClfsBaseFilePersisted::LoadContainerQ genera il puntatore alla classe Container e lo inserisce in CLFS_CONTAINER_CONTEXT.pContainer.
4. nella funzione CClfsRequest::Cleanup, scrive il valore del passaggio 2 nel contesto client, che in memoria è lo stesso del contesto container.
5. nella funzione CClfsRequest::Close, analizza CLFS_CONTAINER_CONTEXT e chiama pContainer (trigger).