CVE-2025-21333

Hyper-V NT Kernel Integration VSP（vkrnlintvsp.sys）Paged Pool 힙 오버플로 → 로컬 권한 상승（LPE）。
본 디렉토리는 lab용 PoC 소스 코드（MrAle98/CVE-2025-21333-POC 기반, 로컬 패치 포함）。

1. 취약점 요약

근본 원인

VkiRootAdjustSecurityDescriptorForVmwp에서：

1. WORD로 할당 길이 계산：AclSize + sid1 + sid2 + 16
2. AclSize = 0xfff0일 때 합계 0x10040 → 0x40으로 절단
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize)는 여전히 전체 0xfff0 복사

핵심 부등식：allocatedBytes(0x40) < accessEnd(0xfff0)。

KD 동적 확인：

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

트리거 경로

Windows Sandbox（및 Nested Virtualization）를 활성화해야 관련 syscall이 vkrnlintvsp.sys로 들어감：

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. 재현 시스템 버전

패치 적용된 23H2（≥ 22631.4751）재현 불가. Nested Virtualization + Windows Sandbox를 활성화해야 함.

3. 익스플로잇 체인（요약）

1. Spray WNF_STATE_DATA
2. Dual-ACE 구조로 AclSize=0xfff0 생성, 오버플로 트리거, 인접 WNF DataSize 확장
3. 두 개의 홀 Free 후 재할당：IrRB（I/O Ring RegBuffers）+ NpAt（PipeAttribute）
4. RegBuffers 중 하나 덮어쓰기 → 사용자 모드에서 가짜 IOP_MC_BUFFER_ENTRY
5. IoRing Read/Write → 커널 임의 읽기/쓰기
6. Token 교체 → PRIV_ESC_OK → 세션 바인딩에 표시되는 SYSTEM 셸

예상 레이아웃：0x30 IrRB + 0x80 NpAt（found1=1 && found2=1 필요）

4. 로컬 안정화 포인트（22631.3447）

상위 코드에서 생략할 수 없는 계약：

힙 스프레이 레이아웃은 비결정적이므로 권한 상승이 100% 보장되지 않음. 실패 시 재시도 가능.

5. 참고 링크

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• 업스트림 분석: https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• 업스트림 PoC: https://github.com/MrAle98/CVE-2025-21333-POC
• I/O Ring 프리미티브: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/