Analyse des vulnérabilités des systèmes Microsoft : menaces potentielles et prévention

Récemment, un correctif de sécurité publié par Microsoft contenait une vulnérabilité d'escalade de privilèges win32k qui est actuellement exploitée. Cette vulnérabilité affecte principalement les anciennes versions du système Windows, et semble ne pas être déclenchée sur Windows 11. Cet article explorera comment les attaquants pourraient continuer à exploiter de telles vulnérabilités dans le contexte actuel d'un renforcement constant des mesures de sécurité.

Contexte de la vulnérabilité

Ces types de vulnérabilités système non divulguées sont souvent appelés "vulnérabilités de jour zéro". Une fois découvertes, les hackers peuvent les exploiter de manière malveillante sans être détectés, causant des dommages graves. La vulnérabilité découverte se situe au niveau du système Windows, permettant aux attaquants d'en prendre le contrôle total.

Les conséquences de la prise de contrôle d'un système par un attaquant peuvent être graves, entraînant la fuite d'informations personnelles, des plantages de systèmes, des pertes de données, des pertes financières et l'injection de logiciels malveillants. Pour les utilisateurs de cryptomonnaies, les clés privées peuvent être volées et les actifs numériques transférés. À une échelle plus large, cette vulnérabilité pourrait même affecter l'ensemble de l'écosystème Web3 fonctionnant sur une infrastructure Web2.

Analyse des correctifs

En analysant le code du patch, nous avons découvert que le problème résidait dans le fait qu'un compteur de références d'objet avait été traité une fois de trop. En examinant les commentaires du code source antérieur, on peut voir que le code précédent ne verrouillait que l'objet de la fenêtre, sans verrouiller l'objet du menu dans l'objet de la fenêtre, ce qui pourrait entraîner une référence incorrecte de l'objet du menu.

Analyse des exploits de vulnérabilité

Nous avons construit une structure de menu imbriqué spéciale à plusieurs niveaux pour déclencher une vulnérabilité. En concevant soigneusement les propriétés du menu et les relations de référence, il est possible de libérer un objet de menu spécifique pendant l'exécution de certaines fonctions, ce qui entraîne un accès à un objet invalide lors des références ultérieures.

Réalisation de l'exploitation des vulnérabilités

Lors de la mise en œuvre de l'exploitation des vulnérabilités, nous avons principalement envisagé deux solutions : l'exécution de shellcode et l'utilisation de primitives de lecture/écriture pour modifier le token. Après analyse, nous avons choisi cette dernière, c'est-à-dire réaliser une lecture/écriture arbitraire en contrôlant des données mémoire spécifiques, afin d'élever les privilèges.

Le processus d'implémentation spécifique comprend :

1. Écrire les données initiales via des appels de fonctions spécifiques
2. Conception soignée de la disposition de la mémoire
3. Construire des primitives de lecture/écriture stables
4. Réalisation finale de l'élévation de privilège par remplacement de token

Résumé et réflexion

1. Les vulnérabilités win32k existent depuis longtemps, mais Microsoft essaie de reconstruire le code associé en utilisant Rust. À l'avenir, de telles vulnérabilités pourraient diminuer considérablement.

2. Le processus d'exploitation des vulnérabilités est assez direct, reposant principalement sur la fuite d'adresse des poignées de pile de bureau. Si ce problème n'est pas résolu de manière exhaustive, les systèmes obsolètes continueront de faire face à des risques de sécurité.

3. La découverte de cette vulnérabilité pourrait être attribuée à des techniques de détection de couverture de code plus avancées.

4. Pour la détection de vulnérabilités similaires, en plus de se concentrer sur les points clés des fonctions déclenchantes, il est également important de prêter attention à la disposition mémoire anormale et aux comportements de lecture/écriture des données.

En analysant en profondeur ce type de vulnérabilités systémiques, nous pouvons mieux comprendre les défis de sécurité auxquels le système Windows est actuellement confronté et fournir des références pour les futures mesures de défense. Cela rappelle également aux utilisateurs de mettre à jour rapidement les correctifs du système et de renforcer leur sensibilisation à la sécurité.