CVE-2022-24481-POC

Resumo

Este PoC foi obtido por engenharia reversa a partir do exp(SHA1:fec933b0c46366a1fb272bfaf82a8262597a8d75) e muitos mecanismos de AV o detectaram como CVE-2022-24521. Após analisá-lo, descobri que talvez seja o exp para CVE-2022-24481, porque CVE-2022-24521 não é uma vulnerabilidade de type confusion. O bug é causado pela incorreção do ponteiro CLFS_CONTAINER_CONTEXT.pContainer, que é chamado na função CClfsContainer::Close; portanto, se ele for modificado antes, qualquer código poderá ser executado. Mas como modificar esse ponteiro? A RCA do exp(fec933b0c46366a1fb272bfaf82a8262597a8d75) é a seguinte:

1. O exp modifica CLFS_BASE_RECORD_HEADER.rgClients para o deslocamento de CLFS_CONTAINER_CONTEXT.
2. Na função CClfsLogFcbPhysical::Initialize, lê algum valor para a memória a partir de CLFS_BASE_RECORD_HEADER.rgClients (o deslocamento de CLFS_CONTAINER_CONTEXT).
3. CClfsBaseFilePersisted::LoadContainerQ gera o ponteiro da classe Container e o preenche em CLFS_CONTAINER_CONTEXT.pContainer.
4. Na função CClfsRequest::Cleanup, escreve o valor do passo 2 no contexto do cliente, que é o mesmo que o contexto do contêiner na memória.
5. Na função CClfsRequest::Close, analisa CLFS_CONTAINER_CONTEXT e chama pContainer (gatilho).