Cảnh Báo Lỗ Hổng Leo Thang Đặc Quyền CVE-2024-30085 Trong Windows

Mô tả

Alex Birnberg, một nhà nghiên cứu bảo mật thuộc SSD Secure Disclosure, đã công bố chi tiết kỹ thuật và mã PoC cho lỗ hổng CVE-2024-30085. Lỗ hổng này ảnh hưởng đến Windows Cloud Files Mini Filter Driver (cldflt) và cho phép kẻ tấn công địa phương nâng quyền lên cấp độ SYSTEM.

Mô Tả Lỗ Hổng

CVE-2024-30085 nằm trong trình điều khiển Cloud Files Mini Filter Driver của Windows, cụ thể là hàm HsmIBitmapNORMALOpen. Lỗ hổng này bắt nguồn từ việc xử lý không đúng cách dữ liệu bitmap reparse point, dẫn đến lỗi tràn bộ đệm dựa trên heap.

Nguyên nhân chính:

1. Kiểm tra độ dài không hợp lệ: Hàm không kiểm tra đúng độ dài dữ liệu do người dùng cung cấp trước khi sao chép vào bộ đệm có kích thước cố định.
2. Bypass kiểm tra reparse point: Các kiểm tra bảo mật cho reparse point bị bỏ qua, cho phép kẻ tấn công tạo các điểm reparse trái phép.
3. Tràn bộ đệm: Dữ liệu có kích thước lớn vượt quá bộ đệm cố định gây ra lỗi ghi tràn, dẫn đến memory corruption và khả năng thực thi mã với đặc quyền SYSTEM.

Tác động

• Kiểm soát toàn bộ hệ thống: Cài đặt phần mềm độc hại, thay đổi tệp hệ thống nhạy cảm, và truy cập dữ liệu bảo mật.
• Thực thi mã tùy ý: Mã độc có thể hoạt động với quyền cao nhất của hệ thống.

Phân Tích

• Hàm HsmIBitmapNORMALOpen trong driver cldflt.sys thực hiện kiểm tra không chính xác kích thước bitmap reparse point. Nếu cờ kiểm tra được đặt thành false, quá trình xác minh kích thước bị bỏ qua.
• Khi đó, hàm sao chép dữ liệu kích thước lớn hơn bộ đệm cố định, dẫn đến lỗi heap overflow.

Quá trình khai thác:

1. Tạo reparse point độc hại: Kẻ tấn công thao túng đường dẫn thư mục và điểm reparse để vượt qua kiểm tra bảo mật.
2. Sử dụng bitmap lớn: Cung cấp bitmap vượt quá kích thước bộ đệm, gây lỗi bộ nhớ.
3. Thực thi mã độc: Lợi dụng lỗi để thực thi mã ở cấp SYSTEM.

Phiên Bản Bị Ảnh Hưởng

• Windows 11 23H2

Khuyến nghị

• Áp dụng bản vá bảo mật kịp thời.
• Hạn chế quyền người dùng: Đảm bảo tài khoản có quyền tối thiểu để giảm nguy cơ bị khai thác.

Tham khảo

• PoC Exploit Released for CVE-2024-30085: Windows Elevation of Privilege Vulnerability
• SSD Advisory – cldflt Heap-based Overflow (PE)