CVE-2025-21333

Hyper-V NT Kernel Integration VSP (vkrnlintvsp.sys): переполнение кучи Paged Pool → локальное повышение привилегий (LPE).
Этот каталог содержит исходный код PoC для лаборатории (на основе MrAle98/CVE-2025-21333-POC, с локальными патчами).

1. Сводка уязвимости

Корневая причина

В VkiRootAdjustSecurityDescriptorForVmwp:

1. Длина выделения вычисляется через WORD: AclSize + sid1 + sid2 + 16
2. При AclSize = 0xfff0 сумма равна 0x10040 → усекается до 0x40
3. ExAllocatePool2(..., 0x40, 'ViRo')
4. memmove(pool, dacl, AclSize) по-прежнему копирует полные 0xfff0 байт

Ключевое неравенство: allocatedBytes(0x40) < accessEnd(0xfff0).

Подтверждено динамически в KD:

• ExAllocatePool2 → @rdx = 0x40
• memmove → @r8 = 0xfff0

Путь срабатывания

Необходимо включить Windows Sandbox (и Nested Virtualization), чтобы соответствующие syscall попадали в vkrnlintvsp.sys:

PoC → NtCreateCrossVmEvent
    → VkiRootCalloutCreateEvent
    → VkiRootAdjustSecurityDescriptorForVmwp

2. Версия системы для воспроизведения

Запатченная 23H2 (≥ 22631.4751) не воспроизводится. Требуется включить Nested Virtualization + Windows Sandbox.

3. Цепочка эксплуатации (кратко)

1. Spray WNF_STATE_DATA
2. Конструкция Dual-ACE задаёт AclSize=0xfff0, вызывая переполнение и увеличивая DataSize соседнего WNF
3. Освобождаются два чанка, затем выделяются: IrRB (I/O Ring RegBuffers) + NpAt (PipeAttribute)
4. Перезапись одного элемента в RegBuffers → подделка IOP_MC_BUFFER_ENTRY в пользовательском режиме
5. IoRing Read/Write → произвольное чтение/запись в ядре
6. Замена токена → PRIV_ESC_OK → привязанная к сессии видимая оболочка SYSTEM

Ожидаемая раскладка: 0x30 IrRB + 0x80 NpAt (требуется found1=1 && found2=1).

4. Ключевые моменты стабилизации на данной системе (22631.3447)

Условия, которые нельзя опускать по сравнению с апстримом:

Раскладка при spray кучи недетерминирована, повышение привилегий не 100%; при неудаче можно повторить.

5. Ссылки

• MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21333
• Апстрим-анализ: https://medium.com/@ale18109800/cve-2025-21333-windows-heap-based-buffer-overflow-analysis-d1b597ae4bae
• Апстрим-PoC: https://github.com/MrAle98/CVE-2025-21333-POC
• Примитив I/O Ring: https://windows-internals.com/one-i-o-ring-to-rule-them-all-a-full-read-write-exploit-primitive-on-windows-11/