Missing Authentication for Critical Function in Windows Storage VSP Driver

VspVsmbFileCreate ← [1] 경로 검증 없이 \Device 핸들 획득 │ ├──► IoCreateFileEx ← STATUS_OBJECT_TYPE_MISMATCH │ └──► ZwOpenDirectoryObject ← [2] 임의 디렉토리 객체 핸들 반환 │ ▼ VspVsmbCommonRelativeCreate ← [3] Flags로 검증 우회 │ ├──► IoCreateFileEx ← \Device 핸들 기반 상대 경로 열기 │ └──► VspVsmbGetStatInfo ← [4] 호출되지 않음 (검증 스킵) │ ▼ 디바이스 객체 핸들 반환

__int64 __fastcall VspVsmbFileCreate( struct WDFREQUEST__ *a1, struct _UNICODE_STRING *a2, __int64 a3, struct _FILE_OBJECT *a4) { // ... // 요청자 권한 검증 없이 RootIdentity 플래그만 설정 if ( (*(_DWORD *)(v10 + 16) & 2) != 0 ) *((_BYTE *)Pool2 + 41) = 1; // ObjectAttributes: OBJ_KERNEL_EXCLUSIVE 미포함 (0x240) ObjectAttributes.Attributes = v15 & 0x40 | 0x200; ObjectAttributes.ObjectName = a2; // 사용자 제공 경로 검증 없이 사용 // IoCreateFileEx 실패 시 경로 검증 없이 ZwOpenDirectoryObject 호출 if ( Status == -1073741788 ) // STATUS_OBJECT_TYPE_MISMATCH { Status = ZwOpenDirectoryObject((PHANDLE)Pool2 + 4, 2u, &ObjectAttributes); } // ... }

__int64 __fastcall VspVsmbFileCreate( struct WDFREQUEST__ *a1, struct _UNICODE_STRING *a2, __int64 a3, struct _FILE_OBJECT *a4) { // ... // [패치] Feature Flag 확인 후 요청자 권한 검증 // VspVsmbIsUserTrusted: 요청자가 관리자 또는 SYSTEM인지 확인 if ( (unsigned int)Feature_3553664313__private_IsEnabledDeviceUsage() ) { if ( (SecurityContext->DesiredAccess & 2) == 0 ) { if ( !VspVsmbIsUserTrusted(v33) ) { Status = STATUS_ACCESS_DENIED; // 0xC0000022 goto LABEL_73; } } } // [패치] OBJ_KERNEL_EXCLUSIVE(0x400) 추가 → 0x640 if ( (unsigned int)Feature_3553664313__private_IsEnabledDeviceUsage() ) v21 = 1536; // 0x600 ObjectAttributes.Attributes = v21 | 0x40; // 결과: 0x640 // [패치] ZwOpenDirectoryObject 호출 시 \??\ 경로만 허용 if ( (unsigned int)Feature_3553664313__private_IsEnabledDeviceUsage() ) { if ( Status == -1073741788 ) { if ( RtlEqualUnicodeString(a2, &v35, 1u) ) // v35 = L"\??\" { Status = ZwOpenDirectoryObject((PHANDLE)Pool2 + 4, 2u, &ObjectAttributes); } // \Device 등 다른 경로는 차단됨 } } // ... }

__int64 __fastcall VspVsmbCommonRelativeCreate( __int64 a1, // VSMB 컨텍스트 (VspVsmbFileCreate에서 생성) // ... __int64 a9) // CreateOptions { // ... // ObjectAttributes: 0x240 고정 ObjectAttributes.Attributes = 576; // 0x240 // IoCreateFileEx로 상대 경로 파일/디바이스 열기 Status = IoCreateFileEx(&FileHandle, DesiredAccess, &ObjectAttributes, ...); // Flags & 2가 non-zero이면 검증 블록 전체 스킵 if (!v48 && !v51) { // ... Parameter = VspVsmbGetStatInfo(FileHandle, FileInformation); if (Parameter < 0) goto Cleanup; } // v48 != 0이면 위 검증 블록을 건너뛰어 여기에 도달 // 핸들을 IOCTL 응답에 기록하여 사용자에게 반환 *((_QWORD *)v56 + 1) = FileHandle; // 응답 버퍼에 핸들 저장 *v56 = 2; // 응답 타입: 성공 *((_DWORD *)v56 + 1) = 0; // 상태: STATUS_SUCCESS // ... }

__int64 __fastcall VspVsmbCommonRelativeCreate( __int64 a1, // VSMB 컨텍스트 // ... __int64 a9) // CreateOptions { // ... // [패치] RootIdentity 플래그 기반 ObjectAttributes 조건부 강화 if ( Feature_3553664313__private_IsEnabledDeviceUsage() ) // RootIdentity(a1+41) 설정 시 0x640, 미설정 시 0x240 ObjectAttributes.Attributes = *((_BYTE *)a1 + 41) != 0 ? 1600 : 576; else ObjectAttributes.Attributes = 576; Status = IoCreateFileEx(&FileHandle, DesiredAccess, &ObjectAttributes, ...); // Flags 우회 로직 자체는 동일하나, // 1단계(VspVsmbFileCreate)에서 \Device 핸들 획득이 차단되므로 도달 불가 // ... }

__int64 __fastcall VspVsmbFileCreate( struct WDFREQUEST__ *a1, struct _UNICODE_STRING *a2, // 사용자 제공 경로 __int64 a3, struct _FILE_OBJECT *a4) { // ... // 요청자 권한 검증 없음 - 일반 사용자의 요청도 처리됨 // ObjectAttributes 설정 - 사용자 경로를 검증 없이 사용 ObjectAttributes.RootDirectory = 0; ObjectAttributes.Length = 48; ObjectAttributes.Attributes = v15 & 0x40 | 0x200; // 0x240 ObjectAttributes.ObjectName = a2; // IoCreateFileEx로 파일 열기 시도 Status = IoCreateFileEx( (PHANDLE)Pool2 + 4, 0x100020u, // SYNCHRONIZE | FILE_READ_ATTRIBUTES &ObjectAttributes, &IoStatusBlock, // ... ); // \Device는 파일이 아닌 디렉토리 객체 → STATUS_OBJECT_TYPE_MISMATCH if ( Status == -1073741788 ) // 0xC0000024 { // [취약점] 경로 검증 없이 ZwOpenDirectoryObject 호출 Status = ZwOpenDirectoryObject((PHANDLE)Pool2 + 4, 2u, &ObjectAttributes); } // 성공 시 FileObject에 컨텍스트 저장 Status = 0; a4->FsContext = (PVOID)Pool2; // ... }

__int64 __fastcall VspVsmbCommonRelativeCreate( __int64 a1, // VSMB 컨텍스트 (VspVsmbFileCreate에서 생성) // ... __int64 a9) // CreateOptions { // ... v48 = v55 & 2; // 사용자 입력 Flags 필드에서 bit 1 추출 // ObjectAttributes 설정 - VspVsmbFileCreate에서 획득한 핸들을 RootDirectory로 사용 ObjectAttributes.RootDirectory = *(HANDLE *)(a1 + 32); ObjectAttributes.Attributes = 576; // 0x240 고정 ObjectAttributes.ObjectName = PathUnicodeString; // 사용자 제공 상대 경로 // IoCreateFileEx로 상대 경로 파일/디바이스 열기 Status = IoCreateFileEx(&FileHandle, DesiredAccess, &ObjectAttributes, ...); // [핵심 취약점] v48(Flags & 2)이 non-zero이면 검증 블록 전체 스킵 if (!v48 && !v51) { // ... // VspVsmbGetStatInfo - 대상이 파일시스템 객체인지 검증 // 디바이스 객체에서는 STATUS_NOT_IMPLEMENTED 반환 → 핸들 획득 실패 Parameter = VspVsmbGetStatInfo(FileHandle, FileInformation); if (Parameter < 0) goto Cleanup; } // v48 != 0이면 위 검증 블록을 건너뛰어 여기에 도달 // 핸들을 IOCTL 응답에 기록하여 사용자에게 반환 *((_QWORD *)v56 + 1) = FileHandle; // 응답 버퍼에 핸들 저장 *v56 = 2; // 응답 타입: 성공 *((_DWORD *)v56 + 1) = 0; // 상태: STATUS_SUCCESS // ... }