CVE-2025-21333

Hyper-V NT Kernel Integration VSP（vkrnlintvsp.sys）Paged Pool ヒープオーバーフロー → ローカル権限昇格（LPE）。
本ディレクトリは lab 用 PoC ソースコード（MrAle98/CVE-2025-21333-POC ベース、本機向けパッチを含む）。

1. 脆弱性概要

根本原因

VkiRootAdjustSecurityDescriptorForVmwp 内：

1. WORD で割り当て長を計算：AclSize + sid1 + sid2 + 16
2. AclSize = 0xfff0 のとき合計 0x10040 → 0x40 に切り詰められる
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize) は完全な 0xfff0 のままコピー

核心となる不等式：allocatedBytes(0x40) < accessEnd(0xfff0)。

KD による動的確認：

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

トリガーパス

Windows Sandbox（および Nested Virtualization）を有効化し、関連 syscall を vkrnlintvsp.sys に到達させる必要がある：

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. 再現システムバージョン

パッチ適用済みの 23H2（≥ 22631.4751）では再現不可。Nested Virtualization + Windows Sandbox を有効化する必要がある。

3. エクスプロイトチェーン（概要）

1. WNF_STATE_DATA を Spray
2. Dual-ACE で AclSize=0xfff0 を構築し、オーバーフローを誘発して隣接 WNF の DataSize を増幅
3. 2 つのホールを Free し、再割り当て：IrRB（I/O Ring RegBuffers）+ NpAt（PipeAttribute）
4. RegBuffers の 1 エントリを上書き → ユーザーモードで IOP_MC_BUFFER_ENTRY を偽造
5. IoRing Read/Write → カーネル任意読み書き
6. Token 置換 → PRIV_ESC_OK → セッションに紐づく可視の SYSTEM シェル

期待されるレイアウト：0x30 IrRB + 0x80 NpAt（found1=1 && found2=1 が必要）。

4. 本機での安定化の要点（22631.3447）

アップストリームに対して省略不可の約束事：

ヒープスプレーのレイアウトは非決定的であり、権限昇格は100% ではない；失敗した場合は再試行可能。

5. 参考リンク

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• アップストリーム分析: https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• アップストリーム PoC: https://github.com/MrAle98/CVE-2025-21333-POC
• I/O Ring プリミティブ: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/