Win32k 特权提升漏洞 PoC 公布

研究人员发布了 CVE-2023-29336 Win32k 特权提升漏洞的 PoC 代码。

近日，研究人员发布了 CVE-2023-29336 Win32k 特权提升漏洞的 PoC 代码。

Win32k 子系统 ( Win32k.sys kernel driver ) 负责管理操作系统的窗口管理器、屏幕输入、输出，同时作为不同类型输入硬件的接口。Avast 研究人员在其中发现了一个权限提升漏洞，漏洞 CVE 编号为 CVE-2023-29336，CVSS V3.1 评分 7.8 分，低权限的用户利用该漏洞可以提升权限到 Windows SYSTEM 权限级别。

(资料图片仅供参考)

Avast 称其是在攻击活动中发现了该 0 day 漏洞，但未透露更多细节。5 月 9 日，美国基础设施安全局（CISA）也发布漏洞预警，将该漏洞加入到已知的漏洞利用目录中。

微软已于 2023 年 5 月的补丁日修复了该漏洞，并称该漏洞只影响老版本的 Windows 系统，包括老版本的 Windows 10 系统、Windows server、Windows8 等，Windows 11 系统并不受到该漏洞的影响。

就在漏洞补丁发布后的一个月，web3 安全公司 Nume 发布了 CVE-2023-29336 漏洞的技术细节，并发布了在 Windows server 2016 版本上的 PoC 漏洞利用代码。

PoC 代码参见：https://github.com/numencyber/Vulnerability_PoC/blob/main/CVE-2023-29336/poc.cpp

PoC 视频参见：https://www.youtube.com/embed/fDgq8FyXVvU

Nume 研究人员分析了 Windows server 2016 上的漏洞情况，发现 Win32k 只锁定了 window 对象，但没有锁定嵌套的菜单对象。因此，攻击者如果修改了系统内存中的特定地址，就可以实现菜单对象的修改或劫持。

控制菜单对象就表明获得了其启动的程序对应的权限，虽然第一步并不能获得管理员级权限，但通过其他步骤可以实现更高权限的提升。

研究人员在不同的内存布局操作方法、漏洞利用、内存读写函数上进行了测试，最终实现了可以稳定提升到 system 权限的 PoC。

Numen 建议系统管理员关注与 window 对象相关的异常偏移的内存读写，因为这些异常行为可能表明漏洞正在被利用。研究人员建议用户尽快安装微软 2023 年 5 月发布的补丁。

更多技术细节参见 Numen 的技术分析报告：https://www.numencyber.com/cve-2023-29336-win32k-analysis/