POC CVE-2022-21877

이 저장소는 Quang Linh가 STAR Labs에서 근무 중 발견한 CVE-2022-21877에 대한 POC를 포함합니다. 이는 spaceport.sys 드라이버 내에서 발견된 정보 유출입니다.

관련 블로그 게시물은 이 주소에서 확인할 수 있습니다.

사용 방법

POC를 빌드하려면 .\build를 실행하기만 하면 됩니다.

실행하려면 머신에 Tier를 얻을 수 있는 풀이 필요합니다. 제 테스트에서는 적어도 두 개의 스토리지 풀(원시 풀과 다른 하나)이 있어야 합니다. 이는 원시 풀에는 Tier를 연결할 수 없기 때문입니다.

필요한 구성을 얻으려면 가상 머신에 3개의 가상 디스크를 설정할 수 있습니다. 이 디스크들은 Microsoft에 의해 자동으로 원시 풀로 사용됩니다. 그런 다음 재부팅하고, 가상 디스크 두 개를 더 추가할 수 있습니다. 그런 다음 관리자 권한으로 다음 명령을 사용하여 두 번째 풀을 생성할 수 있습니다:

New-StoragePool -FriendlyName Pool2 -StorageSubsystemFriendlyName "Windows Storage*" -PhysicalDisks (Get-PhysicalDisk -CanPool $True)

모든 설정이 완료되면, 사용 가능한 풀의 'FriendlyName'(방금 생성한 풀 등)을 제공하여 관리자 권한으로 POC를 실행하십시오.

이 POC의 결과

이 PoC는 시스템 버퍼 이후에 위치한 제어되지 않은 데이터를 유출할 수 있습니다. 블로그 게시물에서 설명했듯이, 특정 커널 객체의 제어된 유출을 유발할 수 없었습니다. 다음은 그 모습입니다: