CVE-2023-36407

Este é o poc para CVE-2023-36407, Vulnerabilidade de Elevação de Privilégio no Hyper-V.

https://github.com/pwndorei/CVE-2023-36407/assets/96749184/a8ef87d3-e0d0-40e5-9b23-35ab057a9c78

Vulnerabilidade

• Leitura/Escrita Fora dos Limites de/para Pool Não Paginada via winhvr.sys!WinHvGet/SetVpState

Passos para Reprodução

• Ambiente que usei: Windows 11 22H2 x64
• Patch: kb5031354
• código de controle para WinHvSetVpState: 0x221268
  • se o poc não funcionar, analise Vid.sys para descobrir o código de controle para WinHvSetVpState e altere-o

Compilação

Apenas compile o projeto (Release/x64), então CVE-2023-36407.exe será gerado.

Reprodução

1. execute CVE-2023-36407.exe no Host Hyper-V vulnerável (Partição Raiz)
2. Boom

Como funciona?

1. CVE-2023-36407.exe chama DeviceIoControl que invoca winhvr.sys!WinHvSetVpState
2. Em WinHvSetVpState, memcpy copia dados do buffer de entrada (controlado pelo usuário) para a memória da Pool Não Paginada
   • o comprimento dos dados a copiar depende do comprimento dos dados de entrada
3. A memória da Pool Não Paginada tem tamanho 0x1000 bytes e não há verificação de tamanho para a entrada antes de chamar memcpy
   • Estouro de Buffer na Pool Não Paginada
4. Ocorre BSOD devido à corrupção