CVE-2025-62215 — Windows Token UAF (SepTokenSidSharingEnabled レースコンディション)

このリポジトリは教育および研究目的のみです。

概要

Windows カーネルの SepTokenSidSharingEnabled 最適化パスで発生する Use-After-Free 脆弱性 PoC。

• NtDuplicateToken が SID Values Block の RefCount を 1→2 に増加させたとき、 競合するカーネルスレッドが ExFreePoolWithTag でそのブロックを解放する。
• その後、SepDereferenceSidValuesBlock が解放済みブロックにアクセスする → UAF / Double Free。

[User]  IOCTL_REPLACE_SID_BLOCK  →  Place an independent block (RefCount=1) at TOKEN+0x468
[User]  IOCTL_TRIGGER_FREE       →  Spawn kernel thread (poll until RefCount==2)
[User]  NtDuplicateToken         →  Internally increments RefCount 1→2
[Kernel Thread] RefCount==2 detected → ExFreePoolWithTag(pBlock)  ← UAF point

ファイル構成

ビルド手順 (Visual Studio)

前提条件

• Visual Studio 2022 (MSVC)
• Windows Driver Kit (WDK) — tokendriv のビルドに必要
• SDK 10.0.26100.x 以降

1. tokendriv.sys — カーネルドライバー

1. tokendriv/tokendrv/tokendrv.slnx を開く
2. 構成: Release / x64
3. ビルド → tokendriv/tokendrv/x64/Release/tokendrv.sys が生成される
4. 単体配備: .sys ファイルのみを VM にコピーする

WDK インストール後、プロジェクトのプロパティ → Driver Settings → Target OS Version を確認すること

2. exploitWithDriv.exe — ユーザーモードエクスプロイト

1. exploit/exploitWithDriv.slnx を開く
2. 構成: Release / x64
3. プロジェクトのプロパティ → Linker → System → SubSystem: Console
4. ビルド → exploit/x64/Release/exploitWithDriv.exe が生成される
5. 単体配備（Visual C++ Redistributable 不要）の場合:
   • C/C++ → Code Generation → Runtime Library: Multi-threaded (/MT) に設定

VM での実行

前提条件

• VM RAM: 2 GB 以下（SepTokenSidSharingEnabled を有効化するために必要）
• テストアカウント: test / 1234（ローカルアカウント、管理者権限不要）
• カーネルデバッグ接続（任意、解析に必要）
• 管理者コマンドプロンプト

ドライバーの読み込み

sc create tokendriv type= kernel binpath= "C:\path\to\tokendrv.sys"
sc start tokendriv

ドライバーが読み込まれたことを確認:

sc query tokendriv

ステータスが RUNNING であれば OK。

エクスプロイトの実行

exploitWithDriv.exe

実行フロー:

1. FullNumberOfPhysicalPages を確認（0x83400 以下である必要がある）
2. LogonUser("test", ".", "1234") → hSource を取得
3. Enter を押すとレースループが 100,000 回開始される
4. 各イテレーション: REPLACE → TRIGGER → NtDuplicateToken → Sleep(1)

レースコンディション解析 (WinDbg KD)

1. 対象プロセスのアドレスを取得

0: kd> !process 0 0 exploitWithDriv.exe

出力例:

PROCESS ffffa88f5e61e080
    SessionId: 1  Cid: 1234    Peb: ...  ParentCid: ...
    Image: exploitWithDriv.exe

ffffa88f5e61e080 が EPROCESS アドレス。

2. ブレークポイントの設定

以下のアドレスは環境によって異なる場合があるため、実際のカーネルシンボルで確認すること。

A. SID Block RefCount 増加ポイント（レースウィンドウ開始）

0: kd> bp fffff800`725c6114 ".if (@$proc == 0xffffa88f5e61e080) { .echo A_REFCNT_INCR; dq poi(@rsi+0x468)+8 L1; gc } .else { gc }"

• TOKEN+0x468 にある SID Values Block の RefCount (+0x8) を出力
• 値が 1 → 2 に変わる瞬間がレースウィンドウ

B. UAF 読み取りポイント

0: kd> bp fffff800`726f51fb ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_READ; r rax,rdx; gc } .else { gc }"

• 解放されたブロックが読み取られるポイント
• rax, rdx の値を確認

C. UAF 書き込みポイント

0: kd> bp fffff800`726f5208 ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_WRITE; r rcx,rdx,rax; gc } .else { gc }"

• 解放されたブロックに書き込まれるポイント
• rcx, rdx, rax の値を確認して破壊を検出

3. レースのタイミングフロー

NtDuplicateToken entry
    └─ SeTokenCanImpersonate
        └─ SID Block RefCount: 1 → 2        ← bp A (A_REFCNT_INCR)
                                              ← kernel thread: ExFreePoolWithTag(pBlock)
    └─ SepDereferenceSidValuesBlock
        └─ dereference pBlock (read)         ← bp B (REAL_UAF_READ)
        └─ dereference pBlock (write)        ← bp C (REAL_UAF_WRITE)

4. 解析のヒント

• A_REFCNT_INCR が出力された直後に RefCount が 2 であれば、レースウィンドウへの進入に成功している
• REAL_UAF_READ / REAL_UAF_WRITE が出力されれば、実際の UAF が確認される
• Pool tag 'kcoB' で割り当てられたブロックの追跡: !pool <addr> または !poolused

主要オフセット (Windows 11 24H2)

ドライバーのアンロード

sc stop tokendriv
sc delete tokendriv

CVE-2025-62215 — Windows Token UAF (SepTokenSidSharingEnabled 레이스 컨디션)

개요

Windows 커널의 SepTokenSidSharingEnabled 최적화 경로에서 발생하는 Use-After-Free 취약점 PoC.

• NtDuplicateToken 내부에서 SID Values Block의 RefCount가 1→2로 증가하는 순간, 레이스를 걸어 커널 스레드가 해당 블록을 ExFreePoolWithTag로 해제한다.
• 이후 SepDereferenceSidValuesBlock이 해제된 블록에 다시 접근 → UAF / Double Free.

[User]  IOCTL_REPLACE_SID_BLOCK  →  TOKEN+0x468 에 RefCount=1 독립 블록 배치
[User]  IOCTL_TRIGGER_FREE       →  커널 스레드 시작 (RefCount==2 폴링 대기)
[User]  NtDuplicateToken         →  내부에서 RefCount 1→2
[Kernel Thread] RefCount==2 감지 → ExFreePoolWithTag(pBlock)  ← UAF 지점

구성 파일

빌드 방법 (Visual Studio)

공통 사전 조건

• Visual Studio 2022 (MSVC)
• Windows Driver Kit (WDK) — tokendriv 빌드 시 필요
• SDK 10.0.26100.x 이상

1. tokendriv.sys — 커널 드라이버

1. tokendriv/tokendrv/tokendrv.slnx 열기
2. 구성: Release / x64
3. 빌드 → tokendriv/tokendrv/x64/Release/tokendrv.sys 생성
4. 독립 실행 배포: .sys 파일 하나만 VM으로 복사하면 됨

WDK 설치 후 프로젝트 속성 → Driver Settings → Target OS Version 확인

2. exploitWithDriv.exe — 유저모드 익스플로잇

1. exploit/exploitWithDriv.slnx 열기
2. 구성: Release / x64
3. 프로젝트 속성 → Linker → System → SubSystem: Console
4. 빌드 → exploit/x64/Release/exploitWithDriv.exe 생성
5. 독립 실행 배포: Visual C++ Redistributable 없이 동작하도록
   • C/C++ → Code Generation → Runtime Library: Multi-threaded (/MT) 으로 설정

VM 실행 방법

사전 조건

• VM RAM: 2 GB 이하 (SepTokenSidSharingEnabled 활성화 조건)
• 테스트 계정: test / 1234 (로컬 계정, 관리자 권한 불필요)
• Kernel Debugging 연결 (선택, 분석 시 필요)
• 관리자 권한 cmd

드라이버 로드

sc create tokendriv type= kernel binpath= "C:\path\to\tokendrv.sys"
sc start tokendriv

드라이버 로드 확인:

sc query tokendriv

RUNNING 상태이면 정상.

익스플로잇 실행

exploitWithDriv.exe

실행 흐름:

1. FullNumberOfPhysicalPages 체크 (0x83400 이하여야 진행)
2. LogonUser("test", ".", "1234") → hSource 획득
3. Enter 입력 시 레이스 루프 100,000회 시작
4. 각 이터레이션: REPLACE → TRIGGER → NtDuplicateToken → Sleep(1)

Race Condition 분석 (WinDbg KD)

1. 분석 대상 프로세스 주소 확인

0: kd> !process 0 0 exploitWithDriv.exe

출력 예시:

PROCESS ffffa88f5e61e080
    SessionId: 1  Cid: 1234    Peb: ...  ParentCid: ...
    Image: exploitWithDriv.exe

ffffa88f5e61e080 부분이 EPROCESS 주소.

2. 브레이크포인트 설정

아래 주소는 환경마다 다를 수 있으므로 실제 커널 심볼로 확인 후 사용.

A. SID Block RefCount 증가 지점 (레이스 윈도우 시작)

0: kd> bp fffff800`725c6114 ".if (@$proc == 0xffffa88f5e61e080) { .echo A_REFCNT_INCR; dq poi(@rsi+0x468)+8 L1; gc } .else { gc }"

• TOKEN+0x468 에 있는 SID Values Block의 RefCount(+0x8)를 출력
• 값이 1 → 2로 바뀌는 순간이 레이스 윈도우

B. UAF Read 지점

0: kd> bp fffff800`726f51fb ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_READ; r rax,rdx; gc } .else { gc }"

• 해제된 블록을 읽는 지점
• rax, rdx 값 확인

C. UAF Write 지점

0: kd> bp fffff800`726f5208 ".if (@$proc == 0xffffa88f5e61e080) { .echo REAL_UAF_WRITE; r rcx,rdx,rax; gc } .else { gc }"

• 해제된 블록에 쓰는 지점
• rcx, rdx, rax 값으로 오염 여부 확인

3. 레이스 타이밍 흐름

NtDuplicateToken 진입
    └─ SeTokenCanImpersonate
        └─ SID Block RefCount: 1 → 2        ← bp A (A_REFCNT_INCR)
                                              ← 커널 스레드: ExFreePoolWithTag(pBlock)
    └─ SepDereferenceSidValuesBlock
        └─ pBlock 역참조 (읽기)              ← bp B (REAL_UAF_READ)
        └─ pBlock 역참조 (쓰기)              ← bp C (REAL_UAF_WRITE)

4. 분석 팁

• A_REFCNT_INCR 출력 직후 RefCount가 2이면 레이스 윈도우 진입 성공
• REAL_UAF_READ / REAL_UAF_WRITE 이 출력되면 실제 UAF 발생 확인
• Pool tag 'kcoB' 로 할당된 블록 추적: !pool <addr> 또는 !poolused

주요 오프셋 (Windows 11 24H2 기준)

드라이버 제거

sc stop tokendriv
sc delete tokendriv