IntroductionCet article couvre le processus de découverte de multiples vulnérabilités du noyau introduites dans 24H2 et d'écriture d'un exploit, y compris la contournement des nouvelles mesures de renforcement de l'ASLR du noyau (KASLR).
Prérequis• Connaissance de l'ingénierie inverse
• Connaissance des failles de double-fetch
• Accès au code source et compilateur de Microsoft
Procédure
Nouvelles failles dans l'ancien code• En analysant diverses parties du noyau NT dans 24H2, j'ai découvert deux vulnérabilités de type double-fetch de la mémoire en mode utilisateur.
• Ces bugs étaient particulièrement intéressants car ils apparaissaient dans du code présent depuis longtemps qui était auparavant sûr.
Changements concernant la volatilité de la mémoire en mode utilisateur• Il semble y avoir eu des modifications larges pour traiter la mémoire en mode utilisateur comme volatile dans le noyau.
• Un élément de preuve est l'ajout d'une nouvelle fonction de copie de mémoire nommée RtlCopyVolatileMemory.
Code:
RtlCopyVolatileMemory• Cette fonction se comporte exactement comme RtlCopyMemory mais explicitement pour accéder à la mémoire volatile.
• Voici quelques exemples :
• Cas 1 : une lecture de 4 octets de la mémoire en mode utilisateur dans NtCreateTimer2
• Cas 2 : une lecture de 16 octets de la mémoire en mode utilisateur dans ObpCaptureBoundaryDescriptor
CVE-2024-26218 : Double-Fetch dans PspBuildCreateProcessContext conduit à un débordement de tampon sur la pile• Le NtCreateUserProcess syscall traite la liste d'attributs PS_ATTRIBUTE_LIST en mémoire utilisateur.
• La fonction PspBuildCreateProcessContext contient un double-fetch du champ Size dans PS_ATTRIBUTE, déclenchant un débordement de tampon sur la pile.
• Code source et désassemblage pour 23H2 (non vulnérable) et 24H2 (vulnérable) :
23H2
24H2
CVE-2024-21345 : Double-Fetch dans NtQueryInformationThread conduit à une écriture arbitraire• Ce bug permet de contourner la sonde d'une adresse fournie par l'utilisateur.
• Le NtQueryInformationThread syscall contient une grande instruction switch pour différents types d'informations.
• La vulnérabilité se trouve dans la classe ThreadTebInformation, permettant de lire des parties du TEB du thread.
23H2
24H2
KASLR dans 24H2• Dans les versions précédentes de Windows, la défaite de KASLR était triviale grâce à des syscall incluant des pointeurs du noyau.
• En 24H2, ces fuites d'adresses de noyau ne sont plus disponibles pour les appelants non privilégiés.
• Une nouvelle technique est nécessaire pour déterminer la disposition du noyau.
EntryBleed & Introduction au préchargement• EntryBleed utilise un canal latéral de synchronisation pour déterminer l'adresse du noyau.
• La fonction prefetch charge une adresse dans le cache du CPU, sans se soucier si l'adresse est en mode noyau.
Préchargement sur Windows• J'ai découvert que le KVA shadowing est désactivé sur les machines modernes sous Windows 11.
• Cela signifie que l'espace d'adressage du noyau est présent dans les tables de pages en mode utilisateur.
• Une attaque de préchargement contre Windows est décrite dans un article de Daniel Gruss, Clémentine Maurice et Anders Fogh (2016).
• Un outil fiable pour déterminer l'adresse de base du noyau est disponible sur GitHub.
Exploitation• Nous avons contourné le KASLR et localisé l'adresse de base du noyau en mémoire.
• Nous avons une vulnérabilité permettant d'écrire des données arbitraires dans le noyau.
Construction d'une lecture du noyau• Nous devons créer un primitive de lecture en modifiant un global dans le noyau.
• La classe SystemManufacturingInformation dans le syscall NtQuerySystemInformation copie une structure globale UNICODE_STRING en mémoire utilisateur.
• En écrasant les valeurs dans la structure globale, il est possible de lire depuis une adresse arbitraire et de retourner les données en mémoire utilisateur.
Liste de contrôle avant l'élévation•
Contournement de l'ASLR du noyau•
Écriture arbitraire dans le noyau•
Lecture arbitraire dans le noyau Exploitation réelle : Échange de jetons• La technique utilisée consiste à échanger le jeton de processus avec celui d'un processus privilégié.
• Après l'échange de jetons, nous pouvons créer un processus avec des privilèges élevés.
Conseil• Consulter le code source et le compilateur pour éviter des modifications incongrues.
Référence• Recherche Support Microsoft
• Recherche Learn Microsoft
• Recherche Google
• Recherche Bing
ConclusionEn conclusion, les vulnérabilités découvertes dans 24H2 montrent les risques associés aux modifications des anciens codes. La contournement de KASLR reste un défi, mais des techniques comme le préchargement peuvent encore être exploitées pour des attaques réussies.
pour la journée avec ce matin 16c,,prévu de 20c en fin d’après-midi,,Grand Prix F1
ce matin en Autriche 
..Bonne journée 
avec 12c ce matin,,prévu de 24c en fin d’après-midi,,Bonne journée 
,,prévu de 28c en fin d’après-midi,,Bonne journée 
