CVE-2025-21333

Hyper-V NT Kernel Integration VSP（vkrnlintvsp.sys）Heap overflow in Paged Pool → Local Privilege Escalation (LPE).
Questa directory contiene il codice sorgente PoC per il laboratorio (basato su MrAle98/CVE-2025-21333-POC, con patch locale).

1. Riepilogo della vulnerabilità

Causa principale

In VkiRootAdjustSecurityDescriptorForVmwp:

1. Usa WORD per calcolare la lunghezza di allocazione: AclSize + sid1 + sid2 + 16
2. Quando AclSize = 0xfff0, la somma è 0x10040 → troncata a 0x40
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize) copia ancora l'intero 0xfff0

Disuguaglianza chiave: allocatedBytes(0x40) < accessEnd(0xfff0).

Conferma dinamica tramite Kernel Debugger:

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

Percorso di attivazione

È necessario abilitare Windows Sandbox (e Nested Virtualization), in modo che le syscall pertinenti entrino in vkrnlintvsp.sys:

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. Versione del sistema per la riproduzione

23H2 con patch (≥ 22631.4751) non riproducibile. È necessario abilitare Nested Virtualization + Windows Sandbox.

3. Catena di sfruttamento (sintesi)

1. Spray WNF_STATE_DATA
2. Costruzione Dual-ACE con AclSize=0xfff0, attiva overflow, ingrandisce il DataSize di un WNF adiacente
3. Libera due buchi, rialloca: IrRB (I/O Ring RegBuffers) + NpAt (PipeAttribute)
4. Sovrascrive una voce in RegBuffers → forgia IOP_MC_BUFFER_ENTRY in modalità utente
5. IoRing Read/Write → lettura/scrittura arbitraria nel kernel
6. Sostituzione del token → PRIV_ESC_OK → shell SYSTEM visibile legata alla sessione

Layout atteso: 0x30 IrRB + 0x80 NpAt (richiede found1=1 && found2=1).

4. Punti chiave per la stabilizzazione locale (22631.3447)

Requisiti essenziali rispetto all'upstream:

Il layout dell'heap spray non è deterministico, l'elevazione non è al 100%; in caso di fallimento riprovare.

5. Collegamenti di riferimento

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• Analisi upstream: https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• PoC upstream: https://github.com/MrAle98/CVE-2025-21333-POC
• Primitiva I/O Ring: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/