Эксплойт дня: как баг в кsthunk.sys превращается в цифровое оружие

Недавно в Windows 11 версии 23H2 была выявлена уязвимость, позволяющая локальным атакующим получить повышенные привилегии благодаря целочисленному переполнению в драйвере “ksthunk.sys”. Проблема обнаружена в функции “CKSAutomationThunk::ThunkEnableEventIrp”, отвечающей за обработку 32-битных процессов в 64-битной среде.

Исследование представлено на мероприятии TyphoonPWN 2024, где было продемонстрировано успешное использование

Эксплойты обычно классифицируются и называются по: типу уязвимости, которую они используют; являются ли они локальными или удаленными; а также результатом запуска эксплойта (например, EoP, DoS, спуфинг). Одной из схем, предлагающих эксплойты нулевого дня, является Exploit-as-a-Service.

Public Release.