Fortinet fortimon3_74.sys — обход PPL через неаутентифицированную команду завершения процесса

Обзор

Уязвимость в драйвере ядра Fortinet fortimon3_74.sys (мини-фильтр «anti-exploit» FortiClient) позволяет любому локальному администратору завершить любой процесс — включая процессы, защищённые PPL (Protected Process Light), такие как Windows Defender (MsMpEng.exe) и lsass.exe — отправив 8-байтовое сообщение на неаутентифицированный порт связи.

Ни переполнения буфера. Ни heap spray. Ни ROP-цепочки. Всего 8 байт.

Детали уязвимости

Драйвер предоставляет порт связи мини-фильтра без аутентификации вызывающей стороны. Он принимает простое 8-байтовое сообщение:

struct {
    DWORD magic;  // 0x6C6C696B ("kill" в little-endian ASCII)
    DWORD pid;    // Идентификатор целевого процесса
};

При получении этого сообщения драйвер вызывает ZwOpenProcess с PROCESS_ALL_ACCESS из режима ядра (обходя проверки PPL), затем ZwTerminateProcess. Никакой проверки вызывающей стороны или цели не выполняется.

Дополнительная проблема: утечка дескриптора

Дескриптор ZwOpenProcess создаётся в таблице дескрипторов вызывающей стороны (отсутствует флаг OBJ_KERNEL_HANDLE), что создаёт краткое окно, в котором атакующий из пользовательского режима мог бы дублировать дескриптор PROCESS_ALL_ACCESS к процессу, защищённому PPL, например lsass.exe — что позволяет похитить учётные данные без завершения процесса.

Первопричины

1. Отсутствие аутентификации вызывающей стороны — любой процесс администратора может подключиться к порту
2. Отсутствие проверки цели — принимается любой PID, включая системно-критичные процессы
3. Избыточные привилегии — используется PROCESS_ALL_ACCESS вместо PROCESS_TERMINATE
4. Неправильное использование таблицы дескрипторов — отсутствие флага OBJ_KERNEL_HANDLE раскрывает дескриптор ядра пользовательскому режиму

Демонстрация

Завершение lsass.exe (защищён PPL)

Видеодемонстрация

Смотреть полную демонстрацию — демонстрирует обход PPL против защищённых процессов.

Файлы

Сборка и использование

cl.exe poc.c /Fe:poc_kill.exe
poc_kill.exe MsMpEng.exe

Требуется: привилегии локального администратора, загруженный fortimon3_74.sys.

Раскрытие информации

• Сообщено в Fortinet PSIRT с полными техническими деталями, PoC и видеодемонстрацией
• Статус: Дубликат (другой исследователь сообщил о той же проблеме)

me1n