Analisis dan Pemanfaatan Kerentanan 0day Sistem Windows Microsoft

Baru-baru ini, patch keamanan yang dirilis oleh Microsoft telah memperbaiki kerentanan eskalasi hak akses win32k yang sedang aktif dieksploitasi. Kerentanan ini terutama mempengaruhi versi awal sistem Windows, dan tampaknya tidak dapat dipicu di Windows 11. Artikel ini akan menganalisis bagaimana penyerang mungkin terus mengeksploitasi kerentanan semacam ini dalam lingkungan keamanan saat ini. Analisis berikut dilakukan di lingkungan Windows Server 2016.

Latar Belakang Kerentanan

Kerentanan 0day merujuk pada kerentanan keamanan yang belum dipublikasikan dan belum diperbaiki, mirip dengan konsep perdagangan T+0 di pasar keuangan. Kerentanan semacam ini, jika dimanfaatkan secara jahat, dapat menyebabkan kerusakan serius. Kerentanan 0day yang ditemukan pada sistem Windows ini memungkinkan penyerang untuk mendapatkan kendali penuh atas sistem, yang kemudian dapat digunakan untuk melakukan pencurian informasi, penghancuran sistem, penanaman perangkat lunak berbahaya, dan serangan lainnya. Dari sudut pandang Web3, ini dapat menyebabkan pencurian kunci pribadi, pemindahan aset digital, bahkan membahayakan seluruh ekosistem Web3 yang berbasis pada infrastruktur Web2.

Analisis Patch

Analisis kode patch menemukan bahwa, perbaikan utama adalah masalah pengelolaan hitungan referensi objek. Berdasarkan komentar sumber kode win32k sebelumnya, diketahui bahwa kode asli hanya mengunci objek jendela, tetapi tidak mengunci objek menu di dalam jendela, yang dapat menyebabkan objek menu dirujuk secara tidak benar.

Pembuktian Konsep Eksploitasi ( PoC )

Analisis menunjukkan bahwa fungsi xxxEnableMenuItem dapat mengembalikan MenuItemState dari menu utama atau submenu jendela. Kami telah membangun struktur menu khusus dengan empat lapisan, yang mencakup fitur-fitur berikut:

1. ID menu tingkat terendah D harus berupa jenis menu sistem.
2. Menu tingkat atas A juga harus merupakan menu sistem, tetapi harus menghapus item dengan ID yang sama dengan menu D.
3. Hapus referensi menu C di menu B.
4. Keberadaan Menu B tampaknya membantu peluncuran Menu C.

Saat memicu kerentanan, hapus asosiasi menu C dan B saat xxxRedrawTitle mengembalikan lapisan pengguna, dan lepaskan menu C. Ini menyebabkan referensi objek menu C yang tidak valid setelah fungsi xxxEnableMenuItem.

Eksploitasi Kerentanan(Exp)

Pemikiran keseluruhan

Pertimbangkan dua arah pemanfaatan yang mungkin:

1. Eksekusi shellcode: merujuk pada kerentanan awal seperti CVE-2017-0263, namun mungkin menghadapi banyak hambatan di versi baru Windows.

2. Menggunakan primitif baca-tulis untuk memodifikasi token: Dalam beberapa tahun terakhir, masih ada eksp terbuka yang dapat dijadikan referensi, terutama perlu menyelesaikan masalah bagaimana mengontrol nilai cbwndextra untuk pertama kalinya.

Kami mengadopsi skema kedua, membagi exp menjadi dua langkah yaitu mengontrol nilai cbwndextra dan membangun primitif baca-tulis yang stabil.

Penulisan data pertama kali

Menggunakan objek nama kelas jendela WNDClass untuk mengalokasikan dan membebaskan memori objek menu. Temukan lokasi yang dapat ditulis data dalam fungsi xxxRedrawWindow, dengan mengontrol data memori objek sebelumnya untuk memenuhi pemeriksaan tanda dalam fungsi.

tata memori yang stabil

Rancang tata letak memori untuk tiga objek HWND berukuran 0x250 byte secara berurutan, bebaskan objek tengah dan gunakan objek HWNDClass untuk mengisi. Objek HWND di depan dan belakang digunakan untuk memeriksa dan menerapkan primitif baca/tulis melalui fungsi. Lokasi penyusunan objek ditentukan secara tepat melalui kebocoran alamat pegangan kernel.

Implementasi primitif baca-tulis

Baca sembarangan menggunakan fungsi GetMenuBarInfo, tulis sembarangan menggunakan fungsi SetClassLongPtr. Kecuali penulisan TOKEN, operasi tulis lainnya dilakukan melalui objek class dari objek jendela pertama.

Kesimpulan

1. Microsoft sedang menggunakan Rust untuk merombak kode win32k, yang mungkin dapat sepenuhnya menyelesaikan kerentanan semacam ini di masa depan.

2. Eksploitasi jenis ini terutama bergantung pada kebocoran alamat pegangan tumpukan desktop, yang masih menjadi ancaman keamanan bagi sistem lama.

3. Penemuan kerentanan ini mungkin berkat deteksi cakupan kode yang lebih baik.

4. Pemantauan terhadap tata letak memori yang tidak biasa dan pembacaan serta penulisan data jendela membantu dalam menemukan kerentanan yang serupa.