Windows 11’de özellikle 23H2 sürümünü etkileyen yeni bir güvenlik açığı keşfedildi.
Ksthunk.sys sürücüsünde tanımlanan bu güvenlik açığı, saldırganların sistemdeki ayrıcalıklarını artırmak için CKSAutomationThunk::ThunkEnableEventIrp işlevindeki tamsayı taşmasından yararlanmasına olanak tanır.
Teknik Detaylar
Kusur, bağımsız bir güvenlik araştırmacısının yarışmada ikinci sırayı garantileyen bir istismarı başarıyla gösterdiği TyphoonPWN 2024 etkinliği sırasında vurgulandı.
Analyze cyber threats with ANYRUN's powerful sandbox. Black Friday Deals : Get up to 3 Free Licenses.
Güvenlik açığı, Çekirdek Akış Hizmetinin 64 bitlik bir sistemdeki 32 bitlik işlemleri işlemesinden kaynaklanmaktadır. Aşağıda kodun kritik kısmının bir alıntısı verilmiştir:
__int64 __fastcall CKSAutomationThunk::ThunkEnableEventIrp(__int64 a1, PIRP a2, __int64 a3, int *a4) {
…
outlen_adjust = (outbuflen + 0x17) & 0xFFFFFFF8;
…
a2->AssociatedIrp.MasterIrp = (struct _IRP *)ExAllocatePool2( 0x61i64, outlen_adjust + (unsigned int)inbuflen, 1886409547i64);
…
if ((unsigned int)outbuflen > 0x10)
memmove((void *)(data + 0x20), (char *)a2->UserBuffer + 16, outbuflen - 16);
…
}SSD raporuna göre, belirli ThunkEnableEventIrp işlevi, arabellek uzunluğu hesaplamalarını hatalı bir şekilde gerçekleştirerek potansiyel bir tamsayı taşmasına yol açıyor.
Sorunun özünde, çıkış arabellek uzunluğu artı bellek tahsisi için yeniden düzenlenen bir sabitten türetilen outlen_adjust’ın hesaplanması yer alıyor.
Taşma doğrulamasının olmaması nedeniyle bu, gerekenden daha küçük bir arabelleğin tahsis edildiği bir senaryoyla sonuçlanır ve veriler daha sonra bu arabelleğe kopyalandığında yığın taşmasına yol açar.
Bu yığın taşması, güvenlik açığından daha fazla yararlanmak için özel hazırlanmış adlandırılmış yönlendirme tekniklerinin kullanılabildiği disk belleği olmayan havuzda meydana gelir.
Saldırganlar, tahsis boyutunu ve verilerini kontrol ederek, ayrıcalık yükseltme saldırılarında çok önemli bir adım olan keyfi okuma ve yazma yeteneklerine ulaşabilirler.
Kullanım süreci birkaç adımdan oluşur:
- Bellek Püskürtme: Sistem belleğini öngörülebilir şekilde tahsis etmek için adlandırılmış kanalları kullanarak belleği belirli desenlerle doldurun.
- Güvenlik Açığı Tetikleyici: Adlandırılmış kanallar gibi bitişik bellek nesnelerini etkileyen bir yığın taşmasına neden olmak için tanımlanan kusuru kullanın.
- Keyfi Okuma ve Yazma: Yetkisiz bellek erişimi elde etmek için bellek bozulmasından yararlanın ve sistem düzeyindeki veri yapılarını potansiyel olarak değiştirin.
- Ayrıcalıkları Yükselt: Saldırgan, sürecin belleğindeki belirteçlerin üzerine yazarak izinlerini SYSTEM hesabının izinlerine yükseltebilir ve etkilenen sistem üzerinde tam kontrol sağlayabilir.
Bu güvenlik açığının kritik niteliğine rağmen satıcının yanıtı biraz belirsiz oldu.
Güvenlik açığını kabul ettiler ancak bunu daha önce düzeltilen bir sorunun kopyası olarak sınıflandırdılar.
Ancak Windows 11’in en son sürümü üzerinde yapılan testler sırasında güvenlik açığının hala tekrarlanabildiği görüldü ve bu da yama işleminin etkinliği konusunda endişelere yol açtı.
Bu güvenlik açığı, özellikle Windows 11 gibi karmaşık işletim sistemi ortamlarında sistem güvenliğinin sağlanmasında devam eden zorlukları vurgulamaktadır.
Kullanıcıların ve yöneticilerin, Microsoft’un sunduğu tüm mevcut güvenlik güncellemelerini derhal uygulamaları ve bu sorunla ilgili diğer tavsiyelere karşı dikkatli olmaları tavsiye edilir.
Bu arada güvenlik araştırmacıları, bu tür güvenlik açıklarının ortaya çıkmasını önlemek için, özellikle çekirdek düzeyindeki kodlarda, girdi işlemede kapsamlı doğrulamanın önemini vurgulamaya devam ediyor.
KOBİ ve MSP Siber Güvenlik Liderleri için 2024 MITRE ATT&CK Sonuçlarından Yararlanma – Ücretsiz Web Seminerine Katılın