Un punteggio CVSS di 9.8 indica un problema di gravità quasi massima che richiede una patch immediata.

2. Cosa Abbiamo Fatto

Durante questa ricerca abbiamo svolto il seguente lavoro:

1. Studio di Base sul CVE
   Spiegato cosa sia un CVE, come vengono assegnati gli identificatori da MITRE e quali informazioni contiene tipicamente un record CVE.

2. Caratterizzazione della Vulnerabilità
   Documentato perché CVE-2024-38063 è considerato un bug "santo graal": nessuna autenticazione, nessuna interazione con l'utente, potenziale wormabile, IPv6 abilitato per impostazione predefinita e impatto a livello di kernel.

3. Fondamenti di IPv6
   Trattate le differenze tra IPv4 e IPv6, il ruolo degli header di estensione e perché la frammentazione funziona diversamente in IPv6.

4. Analisi Approfondita della Causa Radice
   Tracciato il percorso completo dei pacchetti all'interno di tcpip.sys:

   • Come interagiscono gli header Destination Options + Fragment
   • Ruolo del batching di NET_BUFFER_LIST (NBL)
   • Comportamento di Ipv6pProcessOptions e IppSendErrorList
   • Underflow intero in Ipv6pReceiveFragment
   • Disallineamento tra allocazione a 16 bit e copia a 32/64 bit che porta all'overflow dell'heap del kernel
   • Percorso dal BSOD alla possibile Esecuzione Remota di Codice

5. Valutazione di Terminologia e Difficoltà
   Create tabelle chiare che spiegano i termini di sicurezza, i concetti specifici di Windows e la difficoltà relativa di ogni fase di sfruttamento.

6. Sviluppo del Proof-of-Concept
   Creato e documentato uno script Python basato su Scapy che costruisce i pacchetti intervallati richiesti di Destination Options non validi e frammenti IPv6 per attivare la vulnerabilità.

7. Guida Completa al Laboratorio Isolato
   Scritte istruzioni passo-passo per:

   • Configurare macchine virtuali Kali (attaccante) e Windows non aggiornato (bersaglio)
   • Configurare indirizzi IPv6 statici
   • Abilitare il packet coalescing con bcdedit /set debug on
   • Disabilitare il firewall
   • Eseguire il PoC e verificare la Blue Screen of Death
   • Risolvere i guasti comuni

8. Dimostrazione
   Registrato un video che mostra la configurazione completa del laboratorio, l'esecuzione dello script e il crash riuscito.

9. Revisione della Patch
   Documentati gli aggiornamenti cumulativi ufficiali di agosto 2024 (numeri KB) e come la correzione elimina la race condition.

3. Perché Questa Vulnerabilità È Critica

Il bug possiede diverse caratteristiche ad alto rischio:

• Nessuna autenticazione richiesta – Un attaccante ha bisogno solo della capacità di inviare pacchetti di rete.
• Nessuna interazione con l'utente – La vittima non deve cliccare link, aprire file o essere nemmeno presente.
• Wormabile – Uno sfruttamento riuscito può teoricamente diffondersi automaticamente da una macchina all'altra (simile per classe a EternalBlue / WannaCry).
• IPv6 abilitato per impostazione predefinita – I sistemi Windows moderni hanno IPv6 attivo anche se la rete utilizza principalmente IPv4.
• Impatto a livello di kernel – Il difetto risiede in tcpip.sys (Ring 0). Uno sfruttamento riuscito concede il controllo completo del sistema.
• Vettore d'attacco complesso ma realistico – È una race condition che richiede tempistiche e batching precisi dei pacchetti, rendendo lo sfruttamento affidabile non banale ma comunque realizzabile da attaccanti esperti.

4. Causa Radice Tecnica (Riepilogo)

Componenti di Attivazione

La vulnerabilità viene attivata da una combinazione di due header di estensione IPv6:

1. Header Destination Options (nh=60)
   Contiene un tipo di opzione non valido (otype > 0x80). Questo costringe Windows a generare un errore ICMPv6 Parameter Problem.

2. Header Fragment (nh=44)
   Mantiene i pacchetti nella coda di riassemblaggio IPv6 anche dopo che sono stati corrotti.

Catena d'Attacco

1. L'attaccante invia un flusso rapido di pacchetti intervallati di Destination Options non validi e frammenti IPv6.
2. I pacchetti vengono raggruppati da NDIS in un singolo NET_BUFFER_LIST (NBL).
3. Ipv6pProcessOptions rileva l'opzione non valida e passa l'NBL a IppSendErrorList.
4. IppSendErrorList imposta erroneamente un flag interno e corrompe i pacchetti successivi nello stesso NBL, forzando il loro DataLength a zero.
5. A causa dell'header Fragment, i pacchetti a lunghezza zero vengono comunque inseriti nella coda di riassemblaggio invece di essere scartati.
6. Ipv6pReceiveFragment calcola la dimensione del payload come 0 − HeaderSize, causando un underflow intero (la lunghezza del payload diventa ~4 GB).
7. Viene allocato un piccolo buffer (il calcolo della dimensione a 16 bit tronca), ma RtlCopyMemory copia l'enorme lunghezza in underflow → overflow dell'heap del kernel.
8. Risultato: Blue Screen of Death (BSOD) o, con un controllo preciso dell'overflow, Esecuzione Remota di Codice.

Un diagramma dettagliato del flusso di dati e un'analisi a livello di funzione sono disponibili nel report completo.

5. Contenuti del Repository

Posiziona i tre file di supporto nella radice del repository (o aggiorna i percorsi) affinché rimangano collegati.

6. Requisiti di Sicurezza del Laboratorio

• Esegui tutti i test all'interno di macchine virtuali strettamente isolate (solo rete Host-Only o Internal).
• Non utilizzare mai una macchina di produzione o qualsiasi sistema connesso a internet o alla rete aziendale.
• Il sistema Windows bersaglio deve rimanere non aggiornato (prima dell'aggiornamento cumulativo di agosto 2024).
• Abilita il debug del kernel sul bersaglio (bcdedit /set debug on + riavvio) per migliorare l'affidabilità del packet coalescing.
• Disabilita Windows Firewall per la rete del laboratorio.
• Utilizza indirizzi IPv6 statici corrispondenti sia sull'attaccante che sul bersaglio (valori di esempio usati nello script: 2001:db8::20 → attaccante, 2001:db8::10 → bersaglio).

I passaggi di configurazione completi, la matrice di risoluzione dei problemi e le istruzioni di pulizia sono documentati nel report.

7. Patch Ufficiale

Microsoft ha rilasciato la correzione come parte degli Aggiornamenti Cumulativi di agosto 2024:

La patch introduce un blocco appropriato attorno ai percorsi di codice interessati, eliminando la race condition che portava all'underflow intero e alla scrittura fuori dai limiti.

8. Disclaimer

Tutti i materiali in questo repository (report, script e video) sono forniti esclusivamente per ricerca sulla sicurezza educativa e difensiva.

• Non utilizzare il Proof-of-Concept o qualsiasi tecnica descritta contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione a testare.
• Eseguire questi materiali su sistemi di produzione o connessi a internet è illegale e non etico.
• Gli autori non accettano alcuna responsabilità per uso improprio o danni risultanti.

10. Riferimenti

Team di Ricerca

• Mayank
• Surya Prakash
• Hiba