研究人員發布了 CVE-2023-29336 Win32k 特權提升漏洞的 PoC 代碼。

近日，研究人員發布了 CVE-2023-29336 Win32k 特權提升漏洞的 PoC 代碼。

Win32k 子系統 ( Win32k.sys kernel driver ) 負責管理操作系統的窗口管理器、屏幕輸入、輸出，同時作為不同類型輸入硬件的接口。Avast 研究人員在其中發現了一個權限提升漏洞，漏洞 CVE 編號為 CVE-2023-29336，CVSS V3.1 評分 7.8 分，低權限的用戶利用該漏洞可以提升權限到 Windows SYSTEM 權限級別。

(資料圖片僅供參考)

Avast 稱其是在攻擊活動中發現了該 0 day 漏洞，但未透露更多細節。5 月 9 日，美國基礎設施安全局（CISA）也發布漏洞預警，將該漏洞加入到已知的漏洞利用目錄中。

微軟已于 2023 年 5 月的補丁日修復了該漏洞，并稱該漏洞只影響老版本的 Windows 系統，包括老版本的 Windows 10 系統、Windows server、Windows8 等，Windows 11 系統并不受到該漏洞的影響。

就在漏洞補丁發布后的一個月，web3 安全公司 Nume 發布了 CVE-2023-29336 漏洞的技術細節，并發布了在 Windows server 2016 版本上的 PoC 漏洞利用代碼。

PoC 代碼參見：https://github.com/numencyber/Vulnerability_PoC/blob/main/CVE-2023-29336/poc.cpp

PoC 視頻參見：https://www.youtube.com/embed/fDgq8FyXVvU

Nume 研究人員分析了 Windows server 2016 上的漏洞情況，發現 Win32k 只鎖定了 window 對象，但沒有鎖定嵌套的菜單對象。因此，攻擊者如果修改了系統內存中的特定地址，就可以實現菜單對象的修改或劫持。

控制菜單對象就表明獲得了其啟動的程序對應的權限，雖然第一步并不能獲得管理員級權限，但通過其他步驟可以實現更高權限的提升。

研究人員在不同的內存布局操作方法、漏洞利用、內存讀寫函數上進行了測試，最終實現了可以穩定提升到 system 權限的 PoC。

Numen 建議系統管理員關注與 window 對象相關的異常偏移的內存讀寫，因為這些異常行為可能表明漏洞正在被利用。研究人員建議用戶盡快安裝微軟 2023 年 5 月發布的補丁。

更多技術細節參見 Numen 的技術分析報告：https://www.numencyber.com/cve-2023-29336-win32k-analysis/