CVE-2024-26160 (vulnerabilidade de divulgação de informações em cldflt.sys)

Há um pequeno artigo sobre CVE-2024-26160, que pode ser encontrado no patch de fevereiro (KB5034765, Windows 11 22H2, Windows 11 23H2). A vulnerabilidade foi corrigida no patch de março (KB5035853).

Análise

A vulnerabilidade está localizada na função CldiPortProcessGetRangeInfo, que não verifica o tamanho do buffer passado pela aplicação do usuário. Como o tamanho pode ser controlado pelo usuário, o memmove, que copia as informações retornadas, pode capturar um pool de memória vizinho contendo endereços do kernel se o tamanho for passado corretamente.

O patch de março (KB5035853) introduz uma verificação adicional para o tamanho do buffer.

Em condições normais, a função vulnerável é chamada quando a função é invocada, ela contém um tamanho fixo para o buffer retornado, portanto é necessário construir um pacote de dados que chegue à chamada da função vulnerável. A chamada da função necessária passa pela função , onde todos os pacotes, incluindo alguns específicos, devem ser validados.