CVE-2024-49093（ReFS漏洞分析）
内容提要
本文分析了Windows内核漏洞CVE-2024-49093，该漏洞源于ReFS文件系统中的数值类型转换错误，导致64位写入被误处理为32位，造成数据不一致。利用此漏洞可能导致越界读写，需关注内存管理和数据结构布局。
关键要点
-
分析了Windows内核漏洞CVE-2024-49093，源于ReFS文件系统中的数值类型转换错误。
-
该漏洞导致64位写入被误处理为32位，造成数据不一致。
-
利用此漏洞可能导致越界读写，需关注内存管理和数据结构布局。
-
ReFS（Resilient File System）旨在增强数据完整性和抗损坏能力。
-
漏洞定位于refs.sys，补丁版本为10.0.26100.2605。
-
补丁通过新增特性开关修复漏洞，便于回滚与分阶段放量。
-
漏洞成因分析为数值类型转换不当，导致写入末端的判断错误。
-
PoC代码展示了如何触发漏洞，需保证写入末端跨过4 GiB边界且低32位小于0x800。
-
越界读的实现通过制造AllocationSize与FileSize的不一致状态。
-
越界写的实现通过触发常驻到非常驻的转换，造成OOB写入。
-
总结了ReFS的基础知识及漏洞利用的细节，强调了后续稳定利用的复杂性。
延伸问答
CVE-2024-49093漏洞的成因是什么？
该漏洞源于ReFS文件系统中的数值类型转换错误，导致64位写入被误处理为32位，造成数据不一致。
如何利用CVE-2024-49093漏洞进行越界读？
通过制造AllocationSize与FileSize的不一致状态，使用ReadFile请求超过真实数据长度即可实现越界读。
CVE-2024-49093的补丁版本是什么？
补丁后的版本为10.0.26100.2605，补丁通过新增特性开关修复漏洞。
ReFS文件系统的主要特点是什么？
ReFS旨在增强数据完整性和抗损坏能力，支持高效扩展海量数据，并通过写时复制技术提高数据可用性。
CVE-2024-49093漏洞可能导致哪些风险？
利用此漏洞可能导致越界读写，影响系统的内存管理和数据结构布局，造成数据损坏或泄露。
如何触发CVE-2024-49093漏洞的越界写？
通过将AllocationSize篡改为0并触发常驻到非常驻的转换，可以在小池块上形成越界写。
