Аналіз уразливостей системи Windows від Microsoft: може загрожувати безпеці екосистеми Web3

У минулому місяці оновлення безпеки Microsoft містило вразливість підвищення привілеїв win32k, яка, схоже, існує лише в ранніх версіях системи Windows. У цій статті буде проаналізовано, як злочинці можуть продовжувати експлуатувати цю вразливість на фоні постійного вдосконалення поточних заходів безпеки. Процес аналізу завершено в середовищі Windows Server 2016.

Цей тип 0day вразливостей може бути зловмисно використаний після виявлення без помітності, маючи величезну руйнівну силу. Через цю вразливість хакери можуть отримати повний контроль над системою Windows. Наслідки контролю включають крадіжку особистої інформації, збій системи, втрату даних, фінансові збитки, впровадження шкідливого програмного забезпечення тощо. Обмежений вплив може призвести до крадіжки приватних ключів і перенесення цифрових активів, тоді як широкомасштабний вплив може загрожувати всій екосистемі Web3, що працює на основі інфраструктури Web2.

Аналіз патчів

Аналіз патчу виявив, що проблема, здається, полягає в тому, що лічильник посилань на об'єкт був оброблений більше одного разу. Згідно з ранніми коментарями до коду, попередній код блокував лише об'єкт вікна, не блокуючи об'єкт меню в об'єкті вікна, що могло призвести до неправильного посилання на об'єкт меню.

Перевірка вразливостей

Ми створили спеціальну багаторівневу вкладену структуру меню та встановили деякі специфічні умови для активації вразливості:

1. ID самого внутрішнього меню повинен бути типу системного меню
2. Найзовнішнє меню також має бути системним меню, але потрібно видалити певні елементи системного меню.
3. Видалити батьківське посилання на середній рівень меню
4. Додати додаткове проміжне меню, щоб забезпечити успішне звільнення

При видаленні ключових відносин меню, коли функція повертає рівень користувача, воно буде успішно звільнено. Таким чином, при подальшому зверненні до цього об'єкта меню в ядрових функціях виникнуть проблеми.

Використання вразливостей

Основні напрямки використання ідеї:

1. Виконання shellcode - цей метод може мати безліч обмежень у високих версіях Windows
2. Використання читання та запису примітивів для зміни адреси токена - цей метод має кращу універсальність

Ми вибрали другий варіант, розділивши весь процес використання на два ключові етапи:

1. Використання вразливості UAF для контролю значення cbwndextra
2. Отримання стабільних примітивів читання та запису

Для реалізації першого запису даних ми використовуємо об'єкт імені класу вікна для звільнення пам'яті об'єкта меню та знаходимо структуру адреси, до якої можна записувати будь-які дані. Врешті-решт, ми вибрали запис даних на основі перевірки прапорців у певній функції.

Щоб отримати стабільну структуру пам'яті, ми спроектували три послідовні об'єкти вікон однакового розміру, звільняючи середній об'єкт і займаючи об'єкт класу вікна. За адресою дескриптора ядра, що витікає з пам'яті купи, можна точно визначити, чи відповідає розташування об'єктів очікуванням.

У сфері читання і запису примітивів ми використовуємо GetMenuBarInfo() для реалізації довільного читання, а SetClassLongPtr() для реалізації довільного запису. Окрім запису токенів, всі інші операції запису використовують об'єкт класу першого вікна.

Підсумок

1. Уразливість win32k може бути усунена у попередній версії Windows 11
2. Процес експлуатації таких вразливостей відносно простий, головним чином залежить від витоку адреси десктопного стеку.
3. Виявлення вразливостей може залежати від більш досконалого тестування покриття коду
4. Виявлення аномальної пам'яті та зчитування/запису даних сприяє виявленню таких вразливостей