Аналіз системного 0day вразливості Windows від Microsoft: повний контроль над системою

Нещодавно в безпековому патчі, випущеному Microsoft, виправлено вразливість підвищення привілеїв Win32k, яка використовується зловмисниками. Ця вразливість присутня лише в ранніх версіях Windows, і її неможливо активувати в Windows 11. У цій статті буде проаналізовано, як зловмисники можуть продовжувати використовувати цю вразливість на фоні постійного зміцнення сучасних заходів безпеки.

Фон уразливості

Це уразливість 0day на рівні системи Windows, хакери можуть отримати повний контроль над Windows через цю уразливість. Наслідки контролю можуть включати крадіжку особистої інформації, втрату даних через збій системи, фінансові втрати, впровадження шкідливого програмного забезпечення тощо. Від крадіжки приватного ключа та переміщення цифрових активів до можливого впливу на всю екосистему Web3, що працює на базі інфраструктури Web2.

Аналіз патчів

Аналіз патчу виявив, що це проблема з багатократною обробкою обліку посилань на об'єкт. З ранніх коментарів у вихідному коді стало відомо, що попередній код зафіксував лише об'єкт вікна, не зафіксувавши об'єкт меню в об'єкті вікна, що може призвести до неправильного посилання на об'єкт меню.

Принцип вразливості

Подальший аналіз виявляє, що меню, передане в xxxEnableMenuItem(), зазвичай вже було заблоковано у верхньому рівні функції. А функція MenuItemState в xxxEnableMenuItem повертає два можливих меню: головне меню вікна або підменю в меню.

Доказ концепції ( PoC ) реалізація

PoC побудував спеціальну чотирирівневу структуру меню та встановив певні умови для перевірки через функцію xxxEnableMenuItem. Ключовим кроком є видалення зв’язку посилання між меню C і меню B та звільнення меню C, коли xxxRedrawTitle повертає користувацький рівень. Таким чином, у подальшій функції xxxEnableMenuItem при посиланні на меню C цей об’єкт вже буде недійсним.

Використання вразливості (Exp) реалізація

Існує два основних підходи: виконання коду shellcode або використання операцій читання/запису для зміни адреси токена. З урахуванням сумісності, було обрано другий варіант. Загалом процес складається з двох етапів: використання вразливості UAF для контролю значення cbwndextra, а потім створення стабільних операцій читання/запису.

Ключові моменти включають:

1. Звільнення об'єкта меню, зайнятого через об'єкт класу вікна
2. Знайдіть місце для запису даних у функції xxxRedrawWindow
3. Побудова стабільної структури пам'яті, що включає три послідовні об'єкти HWND
4. Використовуйте GetMenuBarInfo() та SetClassLongPtr() для реалізації читання та запису примітивів.

![Numen ексклюзив: уразливість Microsoft 0day може зламати Web3 гру на системному + фізичному рівні](https://img-cdn.gateio.im/webp-social/moments-1cc94ddafacec491507491eef9195858.webp01

![Numen ексклюзив: уразливість 0day Microsoft може зруйнувати Web3 гру на системному + фізичному рівні])https://img-cdn.gateio.im/webp-social/moments-697c5814db02534f63b44c0d1d692f83.webp(

![Numen ексклюзив: уразливість 0day Microsoft може зламати Web3 гру на системному + фізичному рівнях])https://img-cdn.gateio.im/webp-social/moments-b0942592135ac96c6279544a62022329.webp(

Підсумок

1. Microsoft переписує код, пов'язаний з Win32k, за допомогою Rust, у майбутньому такі вразливості можуть бути усунені.
2. Процес експлуатації вразливостей не є надто складним, в основному залежить від витоку адреси десктопного стеку.
3. Виявлення вразливостей може залежати від більш досконалого виявлення покриття коду
4. Виявлення аномальної пам'яті та запису/читання даних вікна допомагає виявити подібні вразливості

Ці вразливості, хоча поступово виправляються в нових системах, все ще є загрозою безпеці для старих систем. Важливо продовжувати вдосконалювати механізми виявлення та захисту від вразливостей.

![Numen ексклюзив: уразливість 0day від Microsoft може зламати Web3 на системному+фізичному рівнях])https://img-cdn.gateio.im/webp-social/moments-b06b098af4f07260fdc03a75da160706.webp(