기술 분석 및 개념 증명: cldflt.sys의 시간적 메모리 불일치 (CVE-2025-62221)

데모 개념 증명: cldflt.sys의 시간적 메모리 불일치 (CVE-2025-62221) CVE-2025-62221:

이 저장소는 수직 권한 상승 벡터에 대한 포괄적인 기술 분석 및 개념 증명(PoC) 데모를 제공합니다. 이 취약점은 Windows Cloud Files 미니 필터 드라이버(cldflt.sys) 내에 존재하는 Use-After-Free(UAF) 프리미티브로 식별됩니다. 이 문서는 권한이 없는 사용자 모드 엔터티가 Ring 0(NT AUTHORITY\SYSTEM) 보안 컨텍스트로 전환될 수 있는 메커니즘을 상세히 설명합니다.

🔬 개요

CVE-2025-62221 취약점은 Windows 커널 모드 실행 하위 시스템 내에서 메모리 객체 수명 주기의 시간적 관리에 대한 심각한 오류에서 비롯됩니다. 구체적으로, cldflt.sys 드라이버는 클라우드 기반 재분석 지점에 대한 비동기 I/O 요청을 처리하는 동안 원자적 참조 카운팅을 구현하지 못합니다. 조작된 입출력 제어(IOCTL) 디스패치 루틴을 통해 비결정적 경쟁 조건을 조율함으로써, 로컬 행위자는 댕글링 포인터 시나리오를 유도할 수 있습니다. 이 상태는 커널 풀 그루밍을 허용하여 임의 쓰기 프리미티브와 이후 보안 토큰 대체를 가능하게 합니다.

📊 기술 분류

🛠️ 익스플로잇 방법론 및 실행 흐름

익스플로잇 방법론은 여러 개별 단계로 구성됩니다.

I. 환경 정찰

절차는 대상 커널 환경을 감사하여 cldflt.sys 모듈의 존재를 확인하는 것으로 시작됩니다. 또한 특정 Windows 빌드에 대한 EPROCESS 구조 및 관련 보안 토큰 필드의 필요한 오프셋을 계산합니다.

II. 재분석 지점 조율

익스플로잇은 일련의 희소성 있는 클라우드 기반 디렉터리 구조를 인스턴스화합니다. 이러한 구조는 필터 드라이버의 주요 상호 작용 표면 역할을 하여 조작자가 비페이지형 커널 풀 내의 할당 패턴에 영향을 줄 수 있게 합니다.

III. 경쟁 조건 유도

동시적이고 조작된 I/O 요청을 전달함으로써, 익스플로잇은 메모리 객체가 드라이버의 실행 스택 내에서 활성 참조가 유지되는 동안 할당 해제되는 비동기 상태를 유도합니다.

IV. 결정적 풀 그루밍

힙 스프레이 기술을 사용하여 최근에 비워진 메모리 슬롯을 점유합니다. 익스플로잇은 제어된 데이터 구조로 풀을 채워 "Use-After-Free" 조건을 "타입 혼동" 또는 "제어된 포인터 덮어쓰기"로 효과적으로 전환합니다.

V. 보안 참조 모니터(SRM) 조작

커널 모드 실행을 성공적으로 하이재킹한 후, 페이로드는 토큰 스틸링 작업을 실행합니다. SYSTEM 프로세스(PID 4)를 식별하고 기본 액세스 토큰을 익스플로잇 프로세스의 보안 설명자로 복제합니다.

🧪 실험실 재현 (재현 프로토콜)

[!CAUTION] 실험 경고: 이 연구는 학술적 검증 및 공식 커널 모드 보안 감사를 위한 것입니다. 잘못된 구현은 커널 버그 검사(BSOD) 또는 파일 시스템 손상을 초래할 수 있습니다. 모든 테스트는 엄격하게 격리된 하이퍼바이저 환경에서 수행되어야 합니다.

1. 시스템 요구 사항

• 환경: Mininet 시뮬레이션 네트워크 토폴로지 (사용자 호스트: 10.0.0.2, 클라우드 호스트: 10.0.0.1)
• 종속성: Python 3.x, Mininet 환경, 토폴로지 관리를 위한 관리(root) 권한

2. 배포 절차

네트워크 토폴로지 초기화:

sudo python3 topo.py

클라우드 및 사용자 노드에 대한 터미널 열기:

xterm cloud user

클라우드 터미널에서 프로젝트 디렉토리로 이동하여 서버 시작:

cd ~/Downloads/sps_test
python3 server.py

사용자 터미널에서 자동화된 익스플로잇 스크립트 실행(선택 사항):

python3 run_all.py

또는 세부 관찰을 위해 각 단계를 수동으로 실행합니다.

3. 프리미티브 실행 (사용자 컨텍스트 - 수동 단계)

사용자 터미널에서 다음 절차를 순차적으로 실행하여 메모리 상태 전환을 관찰합니다:

Step 1 — Allocated FileObject | REF=ref-12345
python3 1.py
Step 2 — Object freed
python3 2.py
Step 3 — DANGLING REF
python3 3.py
Step 4 — Heap reuse
python3 4.py
Step 5 — Handler overwritten
python3 5.py
Step 6 — MALICIOUS HANDLER EXECUTED
python3 6.py

참고: 6단계에서 성공적으로 전환되면 시스템은 malware.json에 정의된 악성 명령 시퀀스를 실행합니다. 클라우드 터미널에 실행 메시지가 표시되고 사용자 터미널에 악성 명령이 수신됩니다.

📂 저장소 구조

⚖️ 법적 및 윤리적 고지

이 저장소에 포함된 문서와 코드는 사이버 보안 연구의 발전을 위해서만 제공됩니다. 저자는 이 정보의 사용으로 인해 발생하는 손해에 대해 책임을 지지 않습니다. 이 연구의 목적은 미니 필터 드라이버 취약점에 대한 포괄적인 이해를 돕고 기존 완화 전략의 효율성을 평가하는 것입니다.

참고: Microsoft 보안 대응 센터(MSRC) - CVE-2025-62221

SPS 과제 UPB 2026을 위해 완료됨