salma-essaoud/cve-cvss--cve-2024-38063-ipv6-tcp-ip-remote-code-execution-analysisAnalisi tecnica e dimostrazione PoC di CVE-2024-38063, una vulnerabilità di esecuzione remota di codice TCP/IP IPv6 in Windows, inclusa la causa principale, la riproduzione in laboratorio e le strategie di mitigazione.
Questo progetto presenta una analisi tecnica e dimostrazione pratica della vulnerabilità critica CVE-2024-38063, divulgata da Microsoft durante Patch Tuesday (13 agosto 2024).
La vulnerabilità interessa lo stack TCP/IP di Windows, in particolare il componente IPv6 implementato nel driver del kernel:
C:\Windows\System32\drivers\tcpip.sys
Scoperta dal ricercatore di sicurezza XiaoWei di Kunlun Lab, questa vulnerabilità potrebbe consentire agli aggressori di eseguire Esecuzione Remota di Codice (RCE) sfruttando un'elaborazione errata delle intestazioni di estensione IPv6.
Integer Underflow → Buffer Overflow → Esecuzione Remota di Codice
La vulnerabilità si trova nella funzione:
Ipv6pProcessOptions()
all'interno del driver del kernel Windows:
tcpip.sys
IPv6 introduce intestazioni di estensione, che consentono di includere istruzioni aggiuntive nei pacchetti di rete.
Una gestione impropria di pacchetti IPv6 appositamente creati può causare:
Gli aggressori sfruttano questa debolezza inviando pacchetti IPv6 frammentati malevoli contenenti intestazioni di estensione manipolate.
La vulnerabilità colpisce i sistemi operativi Windows in cui IPv6 è abilitato per impostazione predefinita:
| Macchina | Ruolo |
|---|---|
| Kali Linux | Macchina attaccante |
| Windows Server 2019 | Macchina target |
| VirtualBox NAT Network | Rete interna |
Entrambe le macchine virtuali devono appartenere alla stessa rete interna.
Configurazione VirtualBox:
Strumenti → Rete → Rete NAT → Crea
Esempio di configurazione:
Indirizzo di rete: 192.168.100.0/24
DHCP: Abilitato
Entrambe le macchine virtuali devono utilizzare la stessa interfaccia di rete NAT.
La configurazione manuale garantisce una connettività stabile.
Confermare che gli indirizzi IP siano assegnati correttamente.
Testare la comunicazione tra entrambe le macchine.
L'exploit dimostra come pacchetti IPv6 malformati possano causare corruzione della memoria.
Sono richiesti privilegi di amministratore:
Uno sfruttamento riuscito causa corruzione della memoria che porta all'arresto del sistema.
Questo progetto è stato condotto rigorosamente in un ambiente di laboratorio virtuale controllato e isolato utilizzando macchine virtuali.
Questo lavoro fa parte di un processo di apprendimento di hacking etico ed è destinato esclusivamente a:
🚫 Non tentare di riprodurre questo attacco su sistemi senza autorizzazione esplicita.
Qualsiasi uso improprio di queste informazioni è fortemente sconsigliato.
