Improper access control in Windows Storage VSP Driver

VspVsmbFileCreate ← [1] 권한 검증 없이 파일시스템 핸들 획득 │ ├──► IoCreateFileEx ← [2] ObjectAttributes 보호 미흡 (0x240) │ ▼ VspVsmbHandleSetInformationFileRequest ← [3] 파일 정보 설정 요청 처리 │ ├──► ObDuplicateObject ← [4] 파일 핸들을 커널 컨텍스트로 복제 │ ├──► ObReferenceObjectByHandleWithTag ← [5] 파일 객체 유효성 검증 없음 │ └──► ZwSetInformationFile ← [6] 보호된 디렉토리에 파일 조작 수행

__int64 __fastcall VspVsmbFileCreate( struct WDFREQUEST__ *a1, struct _UNICODE_STRING *a2, __int64 a3, struct _FILE_OBJECT *a4) { // ... // FILE_WRITE_DATA(0x02) 비트 확인 → RootIdentity 플래그만 설정 // 요청자 권한 검증 없음 if ( (*(_DWORD *)(v10 + 16) & 2) != 0 ) *((_BYTE *)Pool2 + 41) = 1; // ObjectAttributes: OBJ_KERNEL_EXCLUSIVE 미포함 (0x240) ObjectAttributes.Attributes = v15 & 0x40 | 0x200; Status = IoCreateFileEx((PHANDLE)Pool2 + 4, 0x100020u, &ObjectAttributes, ...); // ... }

__int64 __fastcall VspVsmbFileCreate( struct WDFREQUEST__ *a1, struct _UNICODE_STRING *a2, __int64 a3, struct _FILE_OBJECT *a4) { // ... // [패치] FILE_WRITE_DATA 없이 접근 시 요청자 권한 검증 if ( (unsigned int)Feature_3553664313__private_IsEnabledDeviceUsage() ) { if ( (SecurityContext->DesiredAccess & 2) == 0 ) { if ( !VspVsmbIsUserTrusted(v33) ) // 관리자 또는 SYSTEM인지 확인 { Status = STATUS_ACCESS_DENIED; goto LABEL_73; } } } // [패치] OBJ_KERNEL_EXCLUSIVE(0x400) 추가 → 0x640 if ( (unsigned int)Feature_3553664313__private_IsEnabledDeviceUsage() ) v21 = 1536; ObjectAttributes.Attributes = v21 | 0x40; Status = IoCreateFileEx((PHANDLE)Pool2 + 4, 0x100020u, &ObjectAttributes, ...); // ... }

__int64 __fastcall VspVsmbHandleSetInformationFileRequest( struct _VVSMB_SHARE_ROOT_OBJECT *a1, char a2, const struct _VSTOR_VSMB_SET_INFORMATION_FILE_REQUEST *a3, unsigned int a4, struct _EPROCESS *a5, struct _IO_STATUS_BLOCK *a6) { // ... // ObjectAttributes: 0x240 고정 *(_QWORD *)&ObjectAttributes.Attributes = 576; v22 = IoCreateFileEx(&FileHandle, 0xC0000000, &ObjectAttributes, ...); v25 = ObDuplicateObject(v43, *((_QWORD *)a3 + 1), PsInitialSystemProcess, &Handle, ...); v26 = ObReferenceObjectByHandleWithTag(Handle, ..., &Object, 0); if ( v26 >= 0 ) { // 파일 객체 검증 없이 바로 파일 조작 수행 v28 = ZwSetInformationFile(Handle, &v47, v17, *((_DWORD *)a3 + 5), v13); } // ... }

__int64 __fastcall VspVsmbHandleSetInformationFileRequest( struct _VVSMB_SHARE_ROOT_OBJECT *a1, char a2, const struct _VSTOR_VSMB_SET_INFORMATION_FILE_REQUEST *a3, unsigned int a4, struct _EPROCESS *a5, struct _IO_STATUS_BLOCK *a6) { // ... // [패치] Rename/Disposition 요청 시 파일 조작 제한 플래그 설정 v16 = 0; if ( *((_DWORD *)a3 + 4) == 10 || *((_DWORD *)a3 + 4) == 65 ) { if ( (unsigned int)Feature_2414379322__private_IsEnabledDeviceUsage(v17) ) v16 = 1; } // [패치] ObjectAttributes 조건부 강화 (RootIdentity 기반) if ( Feature_278437177__private_IsEnabledDeviceUsage() ) ObjectAttributes.Attributes = *((_BYTE *)a1 + 41) != 0 ? 1600 : 576; v28 = ObReferenceObjectByHandleWithTag(Handle, ..., &Object, 0); if ( v28 >= 0 ) { // [패치] 파일 객체 유효성 검증 if ( (unsigned int)Feature_2414379322__private_IsEnabledDeviceUsage(v29) && v16 && !*((_BYTE *)Object + 76) ) { goto LABEL_3; // STATUS_ACCESS_DENIED } v31 = ZwSetInformationFile(Handle, ...); } // ... }

__int64 __fastcall VspVsmbFileCreate( struct WDFREQUEST__ *a1, struct _UNICODE_STRING *a2, // 사용자 제공 경로 __int64 a3, struct _FILE_OBJECT *a4) { // ... // DesiredAccess의 FILE_WRITE_DATA(0x02) 비트만 확인하여 // RootIdentity 플래그 설정 — 요청자 권한 검증은 수행하지 않음 if ( (*(_DWORD *)(v10 + 16) & 4) != 0 ) *((_BYTE *)Pool2 + 40) = 1; // ReadOnly if ( (*(_DWORD *)(v10 + 16) & 1) != 0 ) *((_BYTE *)Pool2 + 42) = 1; // BackupIntent if ( (*(_DWORD *)(v10 + 16) & 2) != 0 ) *((_BYTE *)Pool2 + 41) = 1; // RootIdentity (FILE_WRITE_DATA 요청 시) // ObjectAttributes 설정 - 사용자 경로를 검증 없이 사용 ObjectAttributes.RootDirectory = 0; ObjectAttributes.Length = 48; ObjectAttributes.Attributes = v15 & 0x40 | 0x200; // 0x240 ObjectAttributes.ObjectName = a2; // 권한 검증 없이 파일시스템 경로 핸들 획득 Status = IoCreateFileEx( (PHANDLE)Pool2 + 4, 0x100020u, // SYNCHRONIZE | FILE_READ_ATTRIBUTES &ObjectAttributes, &IoStatusBlock, // ... ); // 성공 시 FileObject에 컨텍스트 저장 Status = 0; a4->FsContext = (PVOID)Pool2; // ... }

__int64 __fastcall VspVsmbHandleSetInformationFileRequest( struct _VVSMB_SHARE_ROOT_OBJECT *a1, char a2, const struct _VSTOR_VSMB_SET_INFORMATION_FILE_REQUEST *a3, unsigned int a4, struct _EPROCESS *a5, struct _IO_STATUS_BLOCK *a6) { // ... // RootIdentity(a1+41) 설정 시 Impersonation 수행 if ( *((_BYTE *)a1 + 41) ) { v14 = VspVsmbImpersonateRootSecurityContext(a1, (struct _VVSMB_CLIENT_IMPERSONATION_CONTEXT *)v48); // ... } // 허용된 FileInformationClass 확인 // 10: FileRenameInformation (파일 이동) // 11: FileLinkInformation (하드 링크) // 65: FileDispositionInformationEx (파일 삭제) if ( *((_DWORD *)a3 + 4) != 10 && *((_DWORD *)a3 + 4) != 11 && *((_DWORD *)a3 + 4) != 65 ) goto LABEL_24; // STATUS_INVALID_PARAMETER // 대상 경로에 대한 핸들 열기 // ObjectAttributes.Attributes = 0x240 (OBJ_KERNEL_EXCLUSIVE 미포함) ObjectAttributes.RootDirectory = (HANDLE)*((_QWORD *)a1 + 4); *(_QWORD *)&ObjectAttributes.Attributes = 576; // 0x240 고정 ObjectAttributes.ObjectName = (PUNICODE_STRING)v36; v22 = IoCreateFileEx( &FileHandle, 0xC0000000, // GENERIC_READ | GENERIC_WRITE &ObjectAttributes, &IoStatusBlock, // ... ); // 사용자 프로세스의 파일 핸들을 PsInitialSystemProcess 컨텍스트로 복제 v25 = ObDuplicateObject(v43, *((_QWORD *)a3 + 1), PsInitialSystemProcess, &Handle, 0x2000000, 576, 10, Disposition); // 파일 객체 참조 획득 v26 = ObReferenceObjectByHandleWithTag( Handle, 0x2000000u, (POBJECT_TYPE)IoFileObjectType, 0, 0x46745356u, &Object, 0); if ( v26 >= 0 ) { // [취약점] 파일 객체에 대한 추가 검증 없이 대상 디렉토리 핸들 삽입 if ( a3 != (const struct _VSTOR_VSMB_SET_INFORMATION_FILE_REQUEST *)-32LL && !v20 ) { v27 = FileHandle; if ( FileHandle == (void *)-1LL ) v27 = (void *)*((_QWORD *)a1 + 4); *v19 = v27; // RenameInformation의 RootDirectory 설정 } // 커널 컨텍스트에서 파일 조작 수행 // 일반 사용자의 요청이 SYSTEM 권한으로 처리됨 v28 = ZwSetInformationFile(Handle, &v47, v17, *((_DWORD *)a3 + 5), v13); } // ... }