针对 CVE-2024-30085：Windows 权限提升漏洞发布 PoC 漏洞利用程序

SSD Secure Disclosure 的安全研究员 Alex Birnberg 公布了 CVE-2024-30085 – Windows Cloud Files Mini Filter Driver 权限提升漏洞的技术细节和概念验证 （PoC） 漏洞利用代码。 该漏洞的 CVSS 得分为 7.8，允许本地攻击者将权限提升到 SYSTEM 级别，构成重大安全风险。

根本原因在于 Cloud Files Mini Filter Driver （cldflt），特别是在 HsmIBitmapNORMALOpen 函数中处理 reparse point bitmaps 时。 该漏洞源于在将用户提供的数据长度复制到基于固定长度堆的缓冲区之前，对其进行了不恰当的验证。 如被攻击者利用，攻击者可提升权限，以 SYSTEM 级别权限执行代码。

通过系统级执行，攻击者可以有效地完全控制受攻击的系统。 这包括安装恶意软件、修改敏感系统文件和访问仅限最高权限级别的数据。

研究人员解释说：“该问题是由于在将用户提供的数据复制到基于堆的固定长度缓冲区之前，对其长度进行了不恰当的验证。 这允许攻击者绕过安全检查并执行任意代码。”

该漏洞源于 HsmIBitmapNORMALOpen 函数中的几个关键缺陷：

1. 长度检查绕过： 代码不正确地验证了重新解析点位图的长度。 如果变量被设置为 false，则会完全跳过长度检查。
2. 有缺陷的稀疏点验证： 通过操纵目录路径和稀疏点，攻击者可以绕过同步根验证过程，该过程旨在限制未经授权的稀疏点创建。
3. 基于堆的缓冲区溢出： 一旦绕过长度检查，超大数据就会被复制到固定长度的缓冲区，导致内存损坏和权限升级。

独立安全研究员 Alex Birnberg 在 TyphoonPWN 2024 竞赛中演示了一个可行的概念验证 （PoC），并成功利用了 CVE-2024-30085 漏洞。

该漏洞影响 Windows 11 23H2 安装。 微软已通过 2024 年 6 月的 “补丁星期二 ”更新中包含的补丁解决了该问题，强烈建议用户立即应用该修复程序。