Analyse des vulnérabilités du système Windows de Microsoft : pouvant mettre en danger la sécurité de l'écosystème Web3

Le mois dernier, la mise à jour de sécurité de Microsoft contenait une vulnérabilité d'escalade de privilèges win32k exploitée, qui semble n'exister que dans les versions antérieures du système Windows. Cet article analysera comment les attaquants pourraient continuer à exploiter cette vulnérabilité dans le contexte de l'amélioration continue des mesures de sécurité. Le processus d'analyse a été réalisé dans un environnement Windows Server 2016.

Ce type de vulnérabilité 0day peut être exploité de manière malveillante après sa découverte sans être détecté, ayant un impact dévastateur. Grâce à cette vulnérabilité, les hackers peuvent obtenir un contrôle total sur le système Windows. Les conséquences de ce contrôle incluent le vol d'informations personnelles, l'effondrement du système, la perte de données, des pertes financières, l'implantation de logiciels malveillants, etc. Un impact limité peut entraîner le vol de clés privées et le transfert d'actifs numériques, tandis qu'un impact plus large pourrait menacer l'ensemble de l'écosystème Web3 fonctionnant sur une infrastructure Web2.

Analyse de correctif

L'analyse du patch révèle que le problème semble être que le compteur de références d'un objet a été traité une fois de trop. D'après les commentaires du code source antérieur, il s'avère que le code précédent ne verrouillait que l'objet de la fenêtre, sans verrouiller l'objet menu à l'intérieur de la fenêtre, ce qui pourrait entraîner une référence incorrecte à l'objet menu.

Vérification des vulnérabilités

Nous avons construit une structure de menu imbriqué à plusieurs niveaux et défini certaines conditions spécifiques pour déclencher des vulnérabilités :

1. L'ID du menu le plus interne doit être de type menu système
2. Le menu le plus externe doit également être un menu système, mais il faut supprimer des éléments de menu système spécifiques.
3. Supprimer la référence parent du menu de niveau intermédiaire
4. Ajouter des menus intermédiaires supplémentaires pour garantir le succès de la libération.

Supprimez la référence de menu clé lorsque la fonction renvoie le niveau utilisateur, afin qu'elle soit correctement libérée. Ainsi, des problèmes surviennent lors de la référence de cet objet de menu dans les fonctions du noyau suivantes.

Exploitation des vulnérabilités

Il existe principalement deux directions pour utiliser cette idée :

1. Exécution de code shellcode - Cette méthode peut présenter de nombreuses restrictions dans les versions récentes de Windows.
2. Modifier l'adresse du token à l'aide des primitives de lecture et d'écriture - Cette méthode offre une meilleure universalité.

Nous avons choisi la deuxième option, en divisant l'ensemble du processus d'utilisation en deux étapes clés :

1. Contrôler la valeur de cbwndextra en exploitant la vulnérabilité UAF.
2. Obtenir des primitives de lecture/écriture stables

Pour réaliser la première écriture de données, nous utilisons l'objet de nom de classe fenêtre pour occuper la mémoire de l'objet de menu libéré et trouvons la structure d'adresse pouvant écrire des données arbitraires. Nous avons finalement choisi d'écrire des données en fonction des indicateurs dans une fonction spécifique.

Pour obtenir une disposition de mémoire stable, nous avons conçu trois objets de fenêtre de taille identique en continu, libérant l'objet du milieu et occupant avec des objets de classe fenêtre. Nous déterminons avec précision si l'agencement des objets est conforme aux attentes grâce à l'adresse du gestionnaire de noyau qui fuit dans la mémoire du tas.

En ce qui concerne la lecture et l'écriture des primitives, nous utilisons GetMenuBarInfo() pour réaliser une lecture arbitraire, et SetClassLongPtr() pour réaliser une écriture arbitraire. À part l'écriture des tokens, toutes les autres opérations d'écriture utilisent l'objet de classe de la première fenêtre.

Résumé

1. La vulnérabilité win32k pourrait être éliminée dans la version bêta de Windows 11.
2. Ce type d'exploitation de vulnérabilité est relativement simple, reposant principalement sur la fuite de l'adresse du handle de la pile de bureau.
3. La découverte de vulnérabilités peut dépendre d'une détection de couverture de code plus complète.
4. La détection des mises en page de mémoire anormales et des opérations de lecture et d'écriture de données aide à identifier ce type de vulnérabilités.