CVE-2024-35250 POC ks.sys提权漏洞

CVE-2024-35250 是一个影响 ks.sys 驱动程序的漏洞，特别是在处理属性请求时。攻击者利用此漏洞可以执行任意 IOCTL 调用，从而可能导致特权提升。

该漏洞允许攻击者通过提供 KSPROPERTY_TYPE_UNSERIALIZESET 标志，触发一系列操作，最终执行任意 IOCTL_KS_PROPERTY 操作。由于用户提供的缓冲区在未经适当验证的情况下被复制到新分配的空间中，这使得漏洞的利用成为可能。

• 绕过身份验证：攻击者能够通过特定请求跳过身份验证机制，从而获取敏感信息。

• 远程代码执行：在某些情况下，攻击者甚至可以在受影响的系统上执行任意代码。

• 安装以下补丁

  microsoft-windows-windows_10-1507-kb5039225
  microsoft-windows-windows_10-1607-kb5039214
  microsoft-windows-windows_10-1809-kb5039217
  microsoft-windows-windows_10-21h2-kb5039211
  microsoft-windows-windows_10-22h2-kb5039211
  microsoft-windows-windows_11-21h2-kb5039213
  microsoft-windows-windows_11-22h2-kb5039212
  microsoft-windows-windows_11-23h2-kb5039212
  microsoft-windows-windows_server_2012-kb5039260
  microsoft-windows-windows_server_2012_r2-kb5039294
  microsoft-windows-windows_server_2016-1607-kb5039214
  microsoft-windows-windows_server_2019-1809-kb5039217
  microsoft-windows-windows_server_2022-21h2-kb5039227
  microsoft-windows-windows_server_2022-22h2-kb5039227
  microsoft-windows-windows_server_2022-23h2-kb5039236
  msft-kb5039266-a92e54b7-9bb2-44e6-b3a3-e18141c5d74c
  msft-kb5039266-b632b150-d987-4950-bf05-3742c4db6edc
  msft-kb5039274-4b011f18-4451-4108-aa15-cbb0a6178808

根据安全研究人员的分析，CVE-2024-35250 的根本原因在于：

• 输入验证缺失：系统未对输入进行充分验证，导致恶意输入被接受。

• 配置不当：默认配置可能未能限制特定操作的权限。

攻击者可以通过以下步骤利用此漏洞：

1. 识别目标系统：确定受影响的版本和配置。

2. 构造恶意请求：利用漏洞特征构造特定的请求，绕过身份验证。

3. 执行恶意操作：一旦成功绕过保护，攻击者即可执行恶意代码或访问敏感数据。

以下是一个简单的示例代码，展示如何利用该漏洞：

import ctypes# 构造恶意 IOCTL 请求device = ctypes.windll.kernel32.CreateFileW(r"\.DeviceName", ...)# 执行 IOCTL 调用ctypes.windll.kernel32.DeviceIoControl(device, IOCTL_KS_PROPERTY, buffer, size, ...)

CVE-2024-35250 的发现再次提醒我们，系统安全至关重要。用户和开发者需要关注潜在的安全漏洞，并采取必要的防护措施，以确保信息的安全性。

poc参考：https://github.com/varwara/CVE-2024-35250

原文始发于微信公众号（云梦安全）：CVE-2024-35250 POC ks.sys提权漏洞