Исследователь Yarden Shafir рассказал о малоизвестном изменении в Windows 11 23H2, которое незаметно закрыло популярную технику эксплуатации уязвимостей ядра - подмену поля PreviousMode.
Раньше злоумышленник, получив возможность записи в память ядра, мог изменить значение PreviousMode с UserMode на KernelMode. После этого системные вызовы воспринимались как доверенные, что позволяло обходить проверки безопасности и превращать обычную уязвимость в полноценное локальное повышение привилегий (LPE).
Теперь Windows защищается сразу двумя способами:
при каждом входе в ядро через системный вызов PreviousMode автоматически сбрасывается в UserMode, исправляя возможную подмену; перед возвратом в пользовательский режим система проверяет значение поля. Если оно отличается от ожидаемого, Windows аварийно завершает работу с ошибкой PREVIOUS_MODE_MISMATCH (0x1F9), предотвращая успешную эксплуатацию. Полностью исключить обход защиты нельзя - теоретически атакующему нужно успеть изменить PreviousMode, выполнить привилегированные действия и вернуть исходное значение до выхода из ядра. Но такой сценарий значительно сложнее и существенно повышает стоимость эксплуатации.
Часть 1
Часть 2