CVE-2025-21333

Hyper-V NT Kernel Integration VSP（vkrnlintvsp.sys）estouro de heap no pool paginado → elevação de privilégio local (LPE).
Este diretório contém o código-fonte do PoC para laboratório (baseado em MrAle98/CVE-2025-21333-POC, incluindo patch local).

1. Resumo da Vulnerabilidade

Causa Raiz

Em VkiRootAdjustSecurityDescriptorForVmwp:

1. Usa WORD para calcular o tamanho da alocação: AclSize + sid1 + sid2 + 16
2. Quando AclSize = 0xfff0, a soma é 0x10040 → truncado para 0x40
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize) ainda copia o 0xfff0 completo

Desigualdade central: allocatedBytes(0x40) < accessEnd(0xfff0).

Confirmação dinâmica via KD:

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

Caminho de Acionamento

Requer ativação do Windows Sandbox (e Virtualização Aninhada), para que a syscall relacionada entre em vkrnlintvsp.sys:

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. Versão do Sistema para Reprodução

23H2 com patch (≥ 22631.4751) não é reproduzível. Requer ativação de Virtualização Aninhada + Windows Sandbox.

3. Cadeia de Exploração (Resumida)

1. Spray WNF_STATE_DATA
2. Dual-ACE constrói AclSize=0xfff0, aciona overflow, amplia DataSize do WNF adjacente
3. Libera dois buracos, realoca: IrRB (I/O Ring RegBuffers) + NpAt (PipeAttribute)
4. Sobrescreve uma entrada nos RegBuffers → cria IOP_MC_BUFFER_ENTRY falsa em modo de usuário
5. IoRing Read/Write → leitura/escrita arbitrária no kernel
6. Substituição de token → PRIV_ESC_OK → shell SYSTEM visível vinculado à sessão

Layout esperado: 0x30 IrRB + 0x80 NpAt (requer found1=1 && found2=1).

4. Pontos de Estabilização Local (22631.3447)

Contratos não omitíveis em relação ao upstream:

O layout do heap pulverizado é não determinístico, a elevação de privilégio não é 100%; pode-se tentar novamente em caso de falha.

5. Links de Referência

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• Análise Upstream: https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• PoC Upstream: https://github.com/MrAle98/CVE-2025-21333-POC
• Primitiva I/O Ring: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/