Windows Linux LPE

sy64

https://ssd-disclosure.com/ssd-advisory-ksthunk-sys-integer-overflow-pe/

参加 TyphoonPWN 2024 并获得第二名的独立安全研究员

CVE-2024-38144

sy64

6 月初，我们发现 Lazarus 正在利用 Winsock 驱动程序中的新零日漏洞 (CVE-2024-38193)。此漏洞允许攻击者实现本地特权提升 (LPE)，从而使他们能够在目标系统上部署 FudModule v3.0 rootkit。

2024 年 8 月 19 日，微软发现了另外两个正在被积极利用的零日漏洞。第一个漏洞是 Chromium 中的远程代码执行 (RCE) 漏洞，编号为 CVE-2024-7971。此 RCE 漏洞允许攻击者在沙盒化的 Chromium 渲染器进程中执行代码。

一旦触发漏洞，它就会部署包含 Windows 沙盒逃逸漏洞 (CVE-2024-38106) 的 shellcode。这一系列事件最终导致 FudModule rootkit 直接下载并加载到内存中。

sy64

https://www.welivesecurity.com/en/eset-research/romcom-exploits-firefox-and-windows-zero-days-in-the-wild/

ESET 研究人员在 Mozilla 产品中发现了一个此前未知的漏洞，该漏洞被与俄罗斯结盟的 RomCom 组织在野外利用。这是 RomCom 至少第二次被发现在野外利用重大零日漏洞，此前一次是在2023 年 6 月通过 Microsoft Word滥用CVE-2023-36884。

此严重漏洞（编号为CVE-2024-9680，CVSS 评分为 9.8）允许存在漏洞的 Firefox、Thunderbird 和 Tor 浏览器版本在浏览器的受限上下文中执行代码。与 Windows 中另一个之前未知的漏洞（编号为CVE-2024-49039，CVSS 评分为 8.8）相结合，可在登录用户的上下文中执行任意代码。在一次成功的攻击中，如果受害者浏览包含漏洞的网页，攻击者便可运行任意代码（无需任何用户交互），在本例中，这导致在受害者的计算机上安装 RomCom 的同名后门。

sy64

https://blog.exodusintel.com/2024/12/02/windows-sockets-from-registered-i-o-to-system-privileges/

介绍了通过 2024 年 8 月修补的漏洞（使用堆喷射）进行的 Windows 本地权限提升。

PoC：https://github.com/Nephster/CVE-2024-38193

sy64

https://osec.io/blog/2024-11-25-netfilter-universal-root-1-day

利用 netfilter 子系统中的 slab double free 错误的文章

CVE-2024-26809

sy64

该漏洞可能源于WPTaskScheduler.dll 组件中的一个缺陷，该组件自 Windows 10 版本 1507 以来一直是任务计划程序不可或缺的一部分。分析表明，此漏洞允许攻击者绕过受限令牌沙盒和子进程限制等安全措施，从而有效地将其权限提升到中等完整性级别。

https://github.com/je5442804/WPTaskScheduler_CVE-2024-49039

sy64

https://github.com/google/security-research/security/advisories/GHSA-c45w-xwww-rfgg

CVE-2024-43882

sy64

https://lore.kernel.org/linux-cve-announce/2024072952-CVE-2024-42070-b271@gregkh/

ZDI-24-1642是一个影响Linux内核的nftables类型混淆信息泄露漏洞（CVE-2024-42070）。该漏洞允许本地攻击者在受影响的系统上泄露敏感信息。攻击者需先获得在目标系统上执行低权限代码的能力。漏洞源于数据验证不足，可能导致类型混淆，攻击者可利用此漏洞与其他漏洞结合，在内核上下文中执行任意代码。

sy64

https://www.clearskysec.com/wp-content/uploads/2024/11/Zero-day-cve-2024-4351-report.pdf

sy64

CVE-2024-38144：由于 ksthunk.sys 中的 Integer 溢出，Windows 11 中存在 LPE 漏洞

Windows 11 中的本地权限提升ksthunk.sys由于缺乏对整数的验证，并导致整数溢出

https://ssd-disclosure.com/ssd-advisory-ksthunk-sys-integer-overflow-pe/

sy64

https://trustedsec.com/blog/ekuwu-not-just-another-ad-cs-esc

Active Directory 证书服务 (AD CS) 中存在严重的零日漏洞CVE-2024-49019（CVSS：7.8）由 TrustedSec 的安全研究人员发现。此漏洞利用了证书模板版本 1 的功能，可能允许具有注册权限的攻击者进行大幅度的特权提升。

sy64

Microsoft Windows Kernel-Mode Driver contains an untrusted pointer dereference vulnerability that allows a local attacker to escalate privileges.
微软Windows内核模式驱动程序包含一个不可信的指针解引用漏洞，允许本地攻击者提升权限。

CISA added CVE-2024-35250 to the list of known exploited vulnerabilities.
CISA将CVE-2024-35250添加到已知被利用漏洞列表中

sy64

https://wetw0rk.github.io/posts/0x02-introducci%C3%B3n-a-windows-kernel-uafs/

sy64

https://osec.io/blog/2024-11-25-netfilter-universal-root-1-day/

本文深入剖析了Linux内核中一个关键的网络安全组件——netfilter子系统中的CVE-2024-26809漏洞。作者不仅详细展示了如何利用这个已知但未修补的bug来实现本地权限提升和容器逃逸，还分享了一种通用的、跨不同内核构建版本的攻击方法，无需重新编译即可运行。这是对网络安全社区的一个重要贡献，展现了高级持续性威胁（APT）团队可能采用的技术手段。