マイクロソフトWindowsシステムレベル0day脆弱性分析: システムを完全に制御可能

最近、マイクロソフトが発表したセキュリティパッチで、悪用されているWin32k特権昇格脆弱性が修正されました。この脆弱性は初期のWindowsシステムバージョンにのみ存在し、Windows 11では発生しません。本記事では、現在のセキュリティ防護が強化されている状況の中で、攻撃者がこの脆弱性をどのように利用し続ける可能性があるかを分析します。

脆弱性の背景

これはWindowsシステムのレベルでの0day脆弱性であり、ハッカーはこの脆弱性を通じてWindowsへの完全な制御を取得できます。制御された後の危険には、個人情報の盗難、システムのクラッシュによるデータの喪失、財務的損失、マルウェアの埋め込みなどが含まれます。私的な鍵の盗難やデジタル資産の移転から、Web2基盤のインフラストラクチャに基づいて運営されるWeb3エコシステム全体に影響を与える可能性まであります。

! Numen独占:Microsoft 0-day Vulnerability Can Knock Out Web3 Cards at the System + Physical Level

パッチ分析

パッチの分析により、これはオブジェクト参照カウントが過剰に処理される問題であることがわかりました。以前のソースコードのコメントから、以前のコードはウィンドウオブジェクトのみをロックし、ウィンドウオブジェクト内のメニューオブジェクトはロックされていなかったため、メニューオブジェクトが誤って参照される可能性がありました。

! Numen独占:Microsoftの0日間の脆弱性は、システム+物理レベルでWeb3ゲームをダウンさせる可能性があります

脆弱性の仕組み

さらに分析すると、xxxEnableMenuItem()に渡されるメニューは通常、上位関数でロックされています。また、xxxEnableMenuItemのMenuItemState関数が返すメニューには、ウィンドウのメインメニューまたはメニュー内のサブメニューの2つの可能性があります。

! Numen独占:Microsoftの0日間の脆弱性は、システム+物理レベルでWeb3カードをノックアウトすることができます

コンセプト検証(PoC)の実現

PoCは特別な4層メニュー構造を構築し、xxxEnableMenuItem関数内の検出を通過するためにいくつかの特定条件を設定しました。重要なステップは、xxxRedrawTitleがユーザー層を返すときに、メニューCとメニューBの参照関係を削除し、メニューCを解放することです。これにより、後続のxxxEnableMenuItem関数でメニューCを参照する際、そのオブジェクトは無効になります。

! Numen独占:Microsoftの0日間の脆弱性は、システム+物理レベルでWeb3ゲームをダウンさせる可能性があります

エクスプロイト(Exp)実装

利用するアプローチには主に2つあります: shellcodeを実行するか、読み書きのプリミティブを利用してトークンのアドレスを変更することです。互換性を考慮して後者を選択しました。全体は2つのステップに分かれています: UAFの脆弱性を利用してcbwndextraの値を制御し、次に安定した読み書きのプリミティブを確立します。

重要な点は次のとおりです:

1. ウィンドウクラス名オブジェクトによって占有され解放されたメニューオブジェクト
2. xxxRedrawWindow関数でデータを書き込むことができる場所を見つけます
3. 安定したメモリレイアウトを構築し、連続した3つのHWNDオブジェクトを含める
4. GetMenuBarInfo() と SetClassLongPtr() を使用してプリミティブの読み取りと書き込みを行う

! Numen独占:Microsoftの0日の脆弱性は、システム+物理レベルでWeb3カードをノックアウトすることができます

! Numen独占:Microsoft 0-day Vulnerability Can Knock Web3 Cards at the System + Physical Level

! Numen独占:Microsoftの0日間の脆弱性は、システム+物理レベルでWeb3カードをノックすることができます

まとめ

1. マイクロソフトはRustを使用してWin32k関連コードを再構築しており、将来的にはこの種の脆弱性が排除される可能性があります。
2. 脆弱性を利用するプロセスはそれほど難しくなく、主にデスクトップスタックハンドルアドレスの漏洩に依存しています。
3. 脆弱性の発見は、より完全なコードカバレッジの検出に依存する可能性があります。
4. 異常なメモリレイアウトとウィンドウデータの読み書きの検出は、同様の脆弱性を発見するのに役立ちます。

この種の脆弱性は新しいシステムで徐々に修正されていますが、古いシステムにとっては依然として安全上のリスクです。脆弱性の検出と防護メカニズムを整えることは依然として重要です。

! Numen独占:Microsoft 0-day Vulnerability Can Knock Web3 Cards on the System + Physical Level