Le CNG.sys (Windows Kernel Cryptography Driver) a été soumis à rude épreuve : le 22 Octobre dernier, un membre du projet Zero Google Chromium a mis en lumière une vulnérabilité : potentiellement exploitable, celle-ci outrepassait certaines valeurs – tronquées – de la mémoire-tampon pour permettre une élévation de privilèges…
“Le bogue réside dans la fonction cng CfgAdtpFormatPropertyBlock et est causé par un problème de troncature d’entiers 16 bits […] si SourceLength est égal ou supérieur à 0x2AAB, une mémoire tampon insuffisamment petite est allouée à partir du NonPagedPool“, explique ainsi Ben Hawkes, concernant cette faille assignée CVE-2020-17087.
Currently we expect a patch for this issue to be available on November 10. We have confirmed with the Director of Google’s Threat Analysis Group, Shane Huntley (@ShaneHuntley), that this is targeted exploitation and this is not related to any US election related targeting.
— Ben Hawkes (@benhawkes) October 30, 2020
Windows 10 1903 mais, également, Windows 7 seraient concernés. Une dérivation de ce PoC se base sur les “pools spéciaux activés pour cng.sys” avec un crash opéré via une corruption-mémoire. Dans un tweet datant du 30 Octobre 2020, l’auteur du PoC précisé, en complément d’information, qu’un correctif sera disponible et déployé à partir du 10 Novembre prochain tout en notifiant, officiellement, que cela n’est en rien “en lien avec une attaquant ciblant les élections américaines“… A veiller !
Source : Projet Zero Google Chromium (Ben Hawkes) – 22 Octobre 2020 – Pilote cryptographique noyau Windows : élévation de privilèges depuis un dépassement ou une corruption de mémoire.