Analysis of Missing Authorization Checks in Windows Error Reporting

CWerService::SvcElevatedLaunch ← [1] 권한 검증 누락 │ ▼ ElevatedProcessStart ← [2] 공유 메모리에서 명령줄 추출 │ ▼ CreateElevatedProcessAsUser │ ├──► UserTokenUtility::GetProcessToken ← [3] SYSTEM 토큰 기반 생성 │ └──► CreateProcessAsUserW ← [4] 공격자 명령줄로 프로세스 생성

__int64 __fastcall CWerService::SvcElevatedLaunch( struct _RTL_CRITICAL_SECTION *this, struct _WERSVC_MSG *a2, struct _WERSVC_MSG *a3) { // ... // 권한 검증 없이 바로 처리 진행 v6 = CWerService::OpenSenderProcessThread(this, ...); if ( v6 >= 0 ) { // ... v6 = ElevatedProcessStart(...); } // ... }

__int64 __fastcall CWerService::SvcElevatedLaunch( LPCRITICAL_SECTION lpCriticalSection, struct _WERSVC_MSG *a2, struct _WERSVC_MSG *a3) { // ... // Feature Flag 확인 - 활성화 시 즉시 거부 if ( (unsigned __int8)wil::details::FeatureImpl< __WilFeatureTraits_Feature_2607502650>::__private_IsEnabled(...) ) { *((_DWORD *)a3 + 10) = 1; *((_DWORD *)a3 + 11) = -1073741823; // STATUS_NOT_IMPLEMENTED return 2147500037LL; // E_NOTIMPL } // 이하 기존 코드 (Feature Flag 활성화 시 도달 불가) // ... }

__int64 __fastcall CWerService::SvcElevatedLaunch( struct _RTL_CRITICAL_SECTION *this, struct _WERSVC_MSG *a2, struct _WERSVC_MSG *a3) { void *v5 = 0; hObject = 0; v14 = 0; // ALPC 클라이언트 프로세스 핸들 획득 // 클라이언트가 신뢰할 수 있는 호출자인지 검증하지 않음 v6 = CWerService::OpenSenderProcessThread( this, (int)a2, *((_DWORD *)a2 + 48) != 0 ? 1216 : 1088, (int)&hObject, 0, 0, 0); if ( v6 >= 0 ) { memset_0(v16, 0, sizeof(v16)); v7 = 0; v8 = 0; v9 = *((_DWORD *)a2 + 48); if ( v9 ) { v10 = (_QWORD *)((char *)a2 + 64); do { if ( v8 >= 0x10 ) break; if ( *v10 ) v16[v7++] = *v10; ++v8; ++v10; } while ( v8 < v9 ); } // 검증 없이 ElevatedProcessStart 호출 v6 = ElevatedProcessStart( *((_DWORD *)a2 + 12), // 프로세스 타입 hObject, // 클라이언트 프로세스 핸들 *((void **)a2 + 7), // 공유 메모리 핸들 (명령줄) v16, v7, &v14); } // ... }

__int64 __fastcall ElevatedProcessStart( int a1, void *a2, // 클라이언트 프로세스 핸들 void *a3, // 공유 메모리 핸들 void *a4, unsigned int a5, void **a6) { // ... // 클라이언트가 생성한 공유 메모리 핸들을 현재 프로세스(WER 서비스)로 복제 v15 = (HANDLE *)tlx::replace<tlx::file_handle_traits>(hFileMappingObject); CurrentProcess = GetCurrentProcess(); if ( !DuplicateHandle(a2, a3, CurrentProcess, v15, 0x80000000, 0, 0) ) { // ... } // 공유 메모리 매핑 (0x208 = 520 바이트) v20 = MapViewOfFile(hFileMappingObject[0], 4u, 0, 0, 0x208u); // ... // 명령줄 복사 - 클라이언트가 제어하는 데이터 ElevatedProcessAsUser = memcpySEH(v32, v20, 0x208u); // ... // 내용 검증 없이 CreateElevatedProcessAsUser로 전달 ElevatedProcessAsUser = CreateElevatedProcessAsUser( (_DWORD)a2, (unsigned int)v32, // 클라이언트가 제공한 명령줄 a4, a5, 0, (__int64)&hSourceHandle, v24); // ... }

__int64 __fastcall UserTokenUtility::GetProcessToken( HANDLE ProcessHandle, // 클라이언트 프로세스 핸들 int a2, void **a3) // 출력: 토큰 { // ... // 클라이언트 프로세스의 토큰 열기 v7 = (void **)tlx::replace<tlx::file_handle_traits>(&TokenHandle); if ( !OpenProcessToken(ProcessHandle, 0x4Fu, v7) ) { // ... } if ( !a2 ) goto ReturnToken; // 상승된 토큰 획득 시도 v10 = (void **)tlx::replace<tlx::file_handle_traits>(&hObject); v11 = LUAGetElevatedToken(TokenHandle, v10); // ... // SeTcbPrivilege 검사 - 일반 사용자의 토큰은 이 조건을 통과하지 못함 if ( (unsigned __int64)hObject + 1 > 1 && !(unsigned int)UtilTokenHasPrivilege(hObject, L"SeTcbPrivilege") ) { v15 = hObject; hObject = 0; if ( (unsigned __int64)v15 + 1 > 1 ) CloseHandle(v15); // 토큰 폐기 } // 적합한 토큰이 없는 경우 - 일반 사용자는 여기로 진입 if ( (unsigned __int64)hObject + 1 > 1 ) goto ReturnToken; // ========== 핵심 취약 경로 ========== // WER 서비스(SYSTEM)의 토큰에서 SeTcbPrivilege만 제거한 토큰 생성 if ( LookupPrivilegeValueW(0, L"SeTcbPrivilege", &Luid.Luid) ) { Luid.Attributes = 0; // WER 서비스 자신의 토큰 열기 (NT AUTHORITY\SYSTEM) v17 = (void **)tlx::replace<tlx::file_handle_traits>(&ExistingTokenHandle); CurrentProcess = GetCurrentProcess(); if ( !OpenProcessToken(CurrentProcess, 0xF01FFu, v17) ) { // ... } // SYSTEM 토큰에서 SeTcbPrivilege만 제거 NewTokenHandle = (void **)tlx::replace<tlx::file_handle_traits>(&hObject); if ( !CreateRestrictedToken( ExistingTokenHandle, // WER 서비스의 SYSTEM 토큰 0, 0, 0, 1u, // DeletePrivilegeCount = 1 &Luid, // SeTcbPrivilege 0, 0, NewTokenHandle) ) { // ... } } ReturnToken: *a3 = hObject ? hObject : TokenHandle; // ... }

__int64 __fastcall CreateElevatedProcessAsUser( void *a1, __int64 a2, // 명령줄 (클라이언트 제어) // ... { // ... // 실행 파일 (고정) v17 = L"WerMgr.exe"; if ( (v12 & 2) == 0 ) v17 = L"WerFault.exe"; // 경로 구성: C:\Windows\System32\WerFault.exe CreateProcessToken = tlx::assign_sprintf<wchar_t,...>( lpApplicationName, L"%s\\%s", lpCurrentDirectory, v51); // 명령줄 구성: "...\WerFault.exe" <클라이언트가 입력한 인자> CreateProcessToken = tlx::assign_sprintf<wchar_t,...>( lpCommandLine, L"\"%s\\%s\" %s", lpCurrentDirectory, v22, v57); // ← 클라이언트가 제어 // ... // 최종 프로세스 생성 v36 = CreateProcessAsUserW( v10, // 토큰: SYSTEM - SeTcbPrivilege lpApplicationName[0], // WerFault.exe (고정) lpCommandLine[0], // 클라이언트가 입력한 명령줄 0, 0, 1, // bInheritHandles = TRUE v32, lpEnvironment, lpCurrentDirectory, &StartupInfo, &hObject); // ... }