SIOCtl

シンプルなIOCTLディスパッチャ

これは汎用IOCTL「ディスパッチャ」です。CVE 2018-8060およびCVE 2018-8061のPOCとして使用するために作成しましたが、任意のデバイス、IOCTL、データにも使用できます。

• 入力データはバイナリファイルで、IO制御の入力バッファとして使用される生データを含みます。
• 出力データは16進ダンプとして表示されます。

CVE 2018-8060

• 説明:
  HWiNFO AMD64カーネルドライバ バージョン8.98以下では、非特権ユーザーがデバイスドライバにIOCTLを送信できます。入力および/または出力バッファポインタがヌルであるか、これらのバッファのデータが無効である場合、ヌル/無効ポインタが発生し、Windowsカーネルパニック、別名ブルースクリーンが発生します。

  
  

• POC:
  非特権ユーザーがシンボリックデバイス「HWiNFO32」に0x85FE2600より大きいIOCTLを送信し、入出力バッファのデータが任意である場合、デバイスドライバのスコープ内でポインタ参照が発生し、カーネルパニックを引き起こします。一部のケースではCWE-476（NULLポインタ参照）またはCWE-781（METHOD_NEITHER I/O制御コードを使用したIOCTLでの不適切なアドレス検証）が発生します。

  • 最も簡単にトリガーする方法は、入力バッファをヌルにすることです:)。

CVE 2018-8061

• 説明:
  HWiNFO AMD64カーネルドライバ バージョン8.98以下では、非特権ユーザーがデバイスドライバに特別なIOCTLを送信でき、その結果、物理メモリの直接読み取りまたは書き込みが可能になります。
  

• POC:
  非特権ユーザーが、物理メモリアドレス、サイズ、仮想メモリアドレスを含む入力バッファ（ユーザー空間）を伴って、シンボリックデバイス「HWiNFO32」に特別なIOCTL（すなわち0x85FE2608）を送信すると、ドライバが物理メモリをマッピングして読み取り、その内容を仮想アドレスにコピーします。
  ファイル8061.dataの形式は次のとおりです:

  • 物理アドレス: FFFFF7F100002000 (ソース)
  • サイズ: 00000008
  • 宛先仮想アドレス: 4141414141414141