Анализ уязвимости CVE-2025-62215

Проект по исследованию уязвимости Windows Kernel Race Condition / Double-Free Privilege Escalation.

Обзор

Структура проекта

.
├── README.md                           # This file
├── CLAUDE.md                           # Project context for Claude Code
├── report.md                           # Comprehensive vulnerability report
├── analysis.md                         # Static analysis of public (fake) PoC
├── TODO.md                             # Next steps and research plan
├── poc/
│   ├── exploit.h                       # Common definitions & undocumented types
│   ├── exploit.cpp                     # PoC skeleton (correct APIs)
│   └── Makefile                        # MSVC (nmake) build config
└── docs/
    ├── binary-acquisition.md           # How to obtain ntoskrnl.exe binaries
    ├── patch-analysis-guide.md         # IDA Pro + BinDiff analysis guide
    ├── detection-rules.md              # Sigma / Sysmon / ETW detection rules
    └── test-environment.md             # VM + WinDbg setup guide

Ключевые выводы

Фаза 1: Исследование уязвимости

• CVE-2025-62215 — реальная уязвимость, исправленная в ноябре 2025 Patch Tuesday
• Затрагивает все поддерживаемые версии Windows (10, 11, Server 2019/2022/2025)
• Активно эксплуатировалась как zero-day, зарегистрирована в CISA KEV

Фаза 1: Анализ публичного PoC

• Публичный PoC (abrewer251/CVE-2025-62215_Windows_Kernel_PE) — поддельный/неработоспособный
  • Использует фиктивный API (NtCreateKernelObject)
  • User-mode VirtualAlloc не может делать спрей в пул ядра
  • Отсутствует реальный механизм повышения привилегий
  • Вредоносных программ/бэкдоров не обнаружено

Фаза 2: Разработка PoC (текущая)

• Реализован скелет PoC с корректными API ядра Windows
• Рабочие компоненты: проверка версии, обнаружение VM, разрешение NtDll, подготовка пула, утечка EPROCESS
• Заблокировано: для срабатывания состояния гонки требуется бинарный анализ (IDA Pro + BinDiff)

Следующие шаги

1. Получить ntoskrnl.exe до/после патча (см. docs/binary-acquisition.md)
2. С помощью BinDiff определить исправленную функцию
3. Завершить фазу 3 (срабатывание уязвимости) в poc/exploit.cpp
4. Протестировать в изолированной среде ВМ (см. docs/test-environment.md)

Сборка (Windows)

# From VS Developer Command Prompt
cd poc
nmake
exploit.exe --check    # System check only

Отказ от ответственности

Этот проект предназначен только для образовательных и авторизованных целей безопасности.