Windows の脆弱性 CVE-2023-29336 に PoC エクスプロイト：マルウェア配信で悪用される？

Researchers published PoC exploit code for actively exploited Windows elevation of privilege issue

2023/06/08 SecurityAffairs — Microsoft Windows の脆弱性 CVE-2023-29336 (CVSS：7.8) は、Win32k コンポーネントに存在する特権昇格の問題である。Win32k.sys は、Windows オペレーティング・システムにおけるシステム・ドライバであり、ユーザーモード・アプリケーションと Windows グラフィカル・サブシステムとの間に、インターフェイスを提供する役割を担っている。

この、現在進行形の攻撃において積極的に悪用されている脆弱性を発見／報告したのは、Avast Antivirus の研究者である Jan Vojtěšek と Milánek と Luigino Camastraである。この問題は、コード実行のバグと連鎖して、マルウェアの拡散にいたることもある。研究者たちは、この欠陥がマルウェアを配信するための、エクスプロイト・チェーンの一部として使用されたと考えているようだ。

Microsoft は、2023年5月の Patch Tuesday セキュリティ更新プログラムで、この問題に対処している。

その一方で研究者たちは、「この脆弱性の悪用に成功した攻撃者は、SYSTEM 権限を獲得することが可能である。Win32k.sys は、システム起動時にメモリにロードされ、オペレーティング・システムが実行されている間はアクティブな状態を維持する。したがって、Win32k.sys ドライバの欠陥が攻撃者に悪用されると、システムが不正にアクセスされる可能性がある」と述べている。

シンガポールを拠点とするサイバーセキュリティ企業 Numen Cyber の研究者たちは、Windows Server 2016 に対応する PoC エクスプロイトを提供し、この脆弱性の詳細な分析を発表している。Windows 11 システムでは、この脆弱性の悪用は不可能なようだが、それ以前のシステムでは深刻なリスクが生じると、彼らは指摘している。

研究者たちは、「以前のコードの実装では、ウィンドウ・オブジェクトをロックすることに焦点を当て、ウィンドウ・オブジェクト内にネストされたメニュー・オブジェクトを、ロックすることを怠るという不注意があったようだ」と述べていた。

そして、以前のコードの分析した結果として、ウィンドウ・オブジェクトをロックするだけで、ウィンドウ・オブジェクトの中に含まれる、メニュー・オブジェクトの安全性を確保できていなかったことが判明したという。研究者たちは、この種の脆弱性は、ヒープメモリ内のデスクトップ・ヒープ・ハンドルのアドレスのリークに起因すると説明している。

以下は、この PoC エクスプロイトが、Windows Server 2016 上で機能する状況を示すビデオである。

彼らは、「この脆弱性を悪用しても、通常は重大な問題が生じることはない。解放されたメモリから取得するデータを用いて、書き込み操作を制御するための方法を、最初に検討する必要があることを除けば、新たな悪用の手法は必要ない。このタイプの脆弱性は、漏洩したデスクトップ・ヒープハンドル・アドレスに大きく影響される。いくつかの変更はあったかもしれませんが、この問題が徹底的に対処されなければ、古いシステムにとって、セキュリティ上のリスクが残ることになる」と結論付けている。

この、脆弱性 CVE-2023-29336 ですが、マルウェアを配信するための、エクスプロイト・チェーンの一部として使用された可能性もあるとのことです。ちょっと気になりますね。なお、Windows に関する PoC エクスプロイトですが、前回は 2023/01/26 の「Windows CryptoAPI の脆弱性 CVE-2022-34689：PoC エクスプロイトが公開」でした。よろしければ、Windows + Vulnerability で検索も、ご利用ください。