msnightmare/greensectionNVIDIA GreenSection 메모리 손상 0day에 대한 개념 증명으로, 공유 메모리 섹션을 통한 경계를 벗어난 쓰기를 시연하여 교차 사용자 손상을 가능하게 합니다.
Nvidia GreenSection 메모리 손상 0day 취약점
여러 NVIDIA 사용자 모드 구성 요소가 \BaseNamedObjects\{52813408-3561-4705-820a-2b3b78be92ba}에 있는 전역 메모리 섹션을 모든 사용자에게 전체 R/W 액세스 권한으로 공유합니다. 이 섹션은 내부에 중요한 데이터 구조를 저장하지만 실행 시점에 문제가 발생하지 않도록 하는 검사가 있습니다. 안타깝게도 이 섹션의 동일한 데이터가 런타임에 재사용되어 범위를 벗어난(out-of-bound) 메모리 쓰기가 발생합니다.
이 버그는 즉시 SYSTEM 권한을 얻지는 못하지만, 사용자 간 경계를 쉽게 넘나들 수 있으며 dwm.exe 프로세스를 손상시킬 수도 있습니다. 저는 이 부분을 깊이 조사하지는 않았지만, 누군가 이를 완전한 익스플로잇으로 발전시키는 것을 보게 된다면 기쁠 것입니다.
재현 방법:
STACK_TEXT:
00000089`75bfed00 00007ff9`7564e3a4 : 00000000`00000001 00000000`00000001 000001da`b5201340 00000000`00000000 : nvoglv64!DrvPresentBuffers+0xbcdf8
00000089`75bfed30 00007ff9`7564b62a : 000001da`b7910080 00000000`00000000 000001da`b5201301 00000000`00000009 : nvoglv64!DrvPresentBuffers+0xbbc84
00000089`75bfefe0 00007ff9`7592d738 : 00000000`00000000 00000000`00001760 00000000`00000000 000001da`b58a1e80 : nvoglv64!DrvPresentBuffers+0xb8f0a
00000089`75bff020 00007ff9`7592dc6b : 000001da`00000000 000001da`b7910080 00000000`00000000 00000089`75bff150 : nvoglv64!vk_gr2608GetInstanceProcAddr+0x3a5e8
00000089`75bff080 00007ff9`75acd90a : 00000089`75bff300 00000000`00000000 000001da`b52d1480 00000000`00000000 : nvoglv64!vk_gr2608GetInstanceProcAddr+0x3ab1b
00000089`75bff0f0 00007ff9`6eca26dd : 000001db`3ef2a000 00000089`75bff300 000001da`00000400 00006a2d`00000000 : nvoglv64!vkGetInstanceProcAddr+0x16698a
00000089`75bff2e0 00007ff9`6ed1c086 : 00000000`04bf151e 00000000`00000000 00000000`00000000 00000000`04bf151e : plugin_gxc_vulkan2_x64!ImGuiTextFilter::`default constructor closure'+0x11e3d
00000089`75bff370 00007ff9`6ed15239 : 00000000`00000000 000001da`f3b548b0 000001da`f3b2d3f0 00000000`00000000 : gpumagick_sdk_x64!gm::app_set_param_bool+0xbb5e
00000089`75bff770 00007ffa`3aede8d7 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : gpumagick_sdk_x64!gm::app_set_param_bool+0x4d11
00000089`75bff7b0 00007ffa`3bccc48c : 00000000`00000000 00000000`00000000 000004f0`fffffb30 000004d0`fffffb30 : kernel32!BaseThreadInitThunk+0x17
00000089`75bff7e0 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : ntdll!RtlUserThreadStart+0x2c