patois/winmagic_sdDocumentazione tecnica e PoC Exploit per CVE-2020-11519 e CVE-2020-11520
Data: Giugno 2020
Autore: Dennis Elser (codice: github)
In riferimento alla sua rappresentazione web, Winmagic SecureDoc "consente alle aziende di gestire la sicurezza del proprio ambiente IT in modo efficiente sfruttando funzionalità tra cui: Full Disk Encryption (FDE), Multi-Factor Authentication, Removable Media Container Encryption (RMCE) e File and Folder Encryption (FFE). Queste funzionalità aiutano le aziende ad aumentare la sicurezza, mitigare il rischio aziendale e soddisfare i requisiti normativi e governativi per la crittografia del disco rigido."
Il prodotto Winmagic SecureDoc, disponibile nelle edizioni standalone e enterprise, è affetto da due vulnerabilità di escalazione dei privilegi locali (CVE-2020-11519 e CVE-2020-11520) nelle versioni 8.3 e 8.5. Dopo che le vulnerabilità sono state segnalate a Winmagic alla fine di marzo, il vendor ha rilasciato una patch (versione 8.5SR2) a metà giugno 2020. Tuttavia, si è scoperto che questa patch risolveva le vulnerabilità in modo insufficiente, rendendo quindi anche la versione 8.5SR2 vulnerabile ai difetti segnalati. Sebbene i dettagli tecnici sulle vulnerabilità siano stati tenuti nascosti per questo motivo, i difetti devono essere considerati pubblici da allora. Secondo il vendor, un'altra patch era ancora in lavorazione, circa 106 giorni dopo il rapporto iniziale di vulnerabilità a Winmagic. Il 15 luglio, 111 giorni dopo il rapporto iniziale di vulnerabilità al vendor, Winmagic ha rilasciato SecureDoc v8.5 SR2 HF1 ai clienti, che apparentemente corregge CVE-2020-11519 e CVE-2020-11520. Le versioni di SecureDoc precedenti alla 8.3 non sono state testate, ma si presume siano anch'esse affette, in base al codice del componente interessato.
Lo sfruttamento riuscito di una qualsiasi delle vulnerabilità porterà all'escalation dei privilegi a SYSTEM per gli autenticati localmente.
Entrambe le vulnerabilità interessano il componente "SDDisk2k.sys", un driver kernel fornito con il prodotto Winmagic SecureDoc. I difetti di sicurezza sono stati identificati utilizzando analisi statica manuale con l'aiuto del disassemblatore e decompilatore Hex-Rays IDA Pro. Retrospettivamente, le debolezze avrebbero potuto essere scoperte con molto meno sforzo se fossero stati applicati invece approcci di test dinamici come il fuzzing. Questo perché il driver può essere interfacciato da applicazioni utente con privilegi limitati e perché assume di default che il loro input sia ben formato.
A causa della creazione non sicura di un oggetto dispositivo "SecureDocDevice" da parte del driver "SDDisk2k.sys" e della mancanza di codice che impostasse un descrittore di sicurezza appropriato, anche account utente limitati hanno la possibilità di acquisire un handle al dispositivo tramite la funzione API CreateFile(). Concedendo a un'applicazione in modalità utente un handle al proprio oggetto dispositivo, il driver apre così un percorso diretto alla sua superficie di attacco nel kernel.``` c RtlInitUnicodeString(&DestinationString, L"\Device\SecureDocDevice"); RtlInitUnicodeString(&SymbolicLinkName, L"\DosDevices\SecureDocDevice"); if ( IoCreateDevice(v1, 0xDD8u, &DestinationString, 0x8D1Fu, 0, 0, &DeviceObject) >= 0 ) // <--- unsafe { memset(DeviceObject->DeviceExtension, 0, 0xDD8ui64); DeviceObject->Flags |= 4u; DeviceObject->AlignmentRequirement = 0; if ( IoCreateSymbolicLink(&SymbolicLinkName, &DestinationString) < 0 ) IoDeleteDevice(DeviceObject); IoObject = DeviceObject; }
Avendo effettuato il reverse engineering di alcuni gestori di servizi [IOCTL](https://docs.microsoft.com/en-us/windows-hardware/drivers/kernel/introduction-to-i-o-control-codes) del driver "SDDisk2k.sys", è stato scoperto che uno di essi espone funzionalità critiche in modalità utente, permettendo operazioni di lettura e scrittura di settori raw arbitrari di un disco - per progettazione. Inoltre, interfacciandosi con questo stesso codice, si è notato che il driver ignora eventuali blocchi esclusivi che potrebbero essere stati impostati in precedenza su un disco. Di conseguenza, sono possibili operazioni di lettura/scrittura concorrenti, che facilitano race condition e rischi di perdita di dati.