Публичен демонстрационен експлойт (PoC) за CVE-2023-21768 показва как атакуващи с локален достъп могат да придобият привилегии на ниво SYSTEM чрез спомагателния функционален драйвер на Windows за WinSock (Windows Ancillary Function Driver for WinSock).

Изследователите Валентина Палмиоти, известна като chompie, и Рубен Боонен публикуваха кода. Техният пълен експлойт е насочен към уязвими системи с Windows 11 22H2.

Публикацията се отнася за уязвимост, за която е инсталирана корекция за сигурност през януари 2023 г., а не за новоразкрит пропуск в Windows. IBM публикува техническия анализ на изследователите на 21 март 2023 г.

Уязвимостта има оценка по CVSS от 7.8 и изисква локални привилегии от ниско ниво, без взаимодействие с потребителя. Тя не предоставя директен път за проникване в компютъра през интернет. Пропускът се намира в afd.sys – драйвер в ядрото на Windows, който обработва заявки от мрежовия интерфейс WinSock.

Според техническия анализ на IBM изследователите са сравнили версиите на драйвера от декември 2022 г. и януари 2023 г., за да разберат корекцията за сигурност на Microsoft. Само една функция – AfdNotifyRemoveIoCompletion – изглежда е била променена, което им е помогнало да стеснят обхвата на своето проучване.

По-старият код не е проверявал указател към паметта, подаден от потребителско приложение. Тази липсваща проверка е позволявала на локален атакуващ да записва в паметта на ядрото, където Windows съхранява чувствителни системни данни.

Обновеният код на Microsoft е добавил валидиране, за да гарантира, че указателите от потребителски режим препращат към подходяща памет в потребителското пространство, а не към защитени адреси от ядрото.

POC за уязвимостта в спомагателния драйвер за WinSock на Windows

Изследователите споделят, че са диагностицирали, възпроизвели и превърнали пропуска в работещ експлойт за около един ден, въпреки че не са имали предишен опит с този драйвер.

Техните открития показват как сравняването на софтуер с и без корекции за сигурност може да разкрие достатъчно подробности за бързото изграждане на атака.

Публичното хранилище в GitHub описва кода като демонстрация. Пълната му верига за повишаване на привилегиите работи върху уязвими инсталации на Windows 11 22H2, докато базовата възможност за запис в паметта функционира при различни уязвими системи.

Това са отделни твърдения и хранилището не обещава пълна съвместимост на експлойта с всяка засегната версия на Windows. За да премине от ограничен запис в паметта към по-широк контрол, експлойтът променя обектите I/O ring на Windows. Тези обекти поддържат поставени на опашка входни и изходни операции.

Техниката надгражда изследване на Ярден Шафир и позволява четене и запис в паметта на ядрото. След това експлойтът заменя токена за сигурност на целевия процес с такъв, който носи привилегии на ниво SYSTEM.

IBM също така съобщи, че 360 IceSword Lab е открила различен експлойт в реална среда през януари 2023 г. Тази проба е използвала интерфейса ProcessSocketNotifications, а не директния подход към драйвера на изследователите. Този доклад не установява атакуващите да са използвали публикувания в GitHub код.

Администраторите трябва да проверят дали засегнатите устройства са получили корекцията за сигурност от Microsoft или по-късни приложими обновявания. Демонстрацията на IBM също така е проработила, без да бъде блокирана от HVCI, което показва защо тази защита не трябва да замества инсталирането на корекции за сигурност.

Свързаните материали включват експлоатацията на CVE-2024-38193 и уязвимостта от тип нулев ден в WinSock CVE-2025-32709. И двете засягат един и същ драйвер, но представляват отделни пропуски с различни причини и корекции за сигурност.