Sounlabs

يسمح مدير الوحدات (Module Manager) لوحدة محمية الذاكرة تعمل في وضع المستخدم بإرسال طلب استدعاء (callback) مزور إلى قائمة طلبات الاستدعاء الخاصة بوحدة أخرى. وبما أن خيط الاستدعاء في الوحدة المستقبلة يقوم بتنفيذ مؤشر الدالة الموجود في الطلب دون التحقق من أن مدير الوحدات هو من أرسله، يتم تنفيذ كود المهاجم بصلاحيات الوحدة المستقبلة؛ وعندما تعمل تلك الوحدة في الوضع المميز، تكتسب وحدة وضع المستخدم صلاحيات التنفيذ المميزة.

يوجد تجاوز للسياسة في فك تشفير ملفات PS و PDF و XPS. يسمح هذا الخلل بتجاوز حد طول القائمة في سياسة الأمان الخاصة بتحديد المشاهد. من خلال تقديم وسيط محدد، يمكن للمهاجم إجبار البرنامج على معالجة مشاهد أكثر مما هو مسموح به، مما قد يؤدي إلى استنفاد الموارد.

توجد مشكلة في طبقة التوزيع الخاصة بـ Module Manager في وحدة محمية الذاكرة. يقوم موزع الإرسال الأمامي بتمرير عدد الكلمات بشكل خاطئ بدلاً من عدد البايتات عند حساب مدى المخزن المؤقت لعمليات التحقق من النطاق. وتحديداً، بينما يجب أن يكون المدى عبارة عن `tx queue message size` مضروباً في حجم `ULONG` ، يستخدم الموزع عدد الكلمات نفسه. يسمح هذا للدالة ` txe queue front send()` بقراءة `message size * sizeof(ULONG)` بايت في الوضع المميز، مما قد يؤدي إلى الوصول إلى الذاكرة بما يصل إلى `3 * message size` بايت بعد حدود القراءة المصرح بها. يتم كتابة البيانات المقروءة من هذه المنطقة غير المصرح بها في منطقة رسائل الطابور، مما يسمح للوحدة التي تملك صلاحيات الاستقبال بقراءة المعلومات المسربة.

In builds with `TX ENABLE EVENT TRACE` enabled, a user-mode, memory-protected module using `TXM MODULE USER MODE | TXM MODULE MEMORY PROTECTION` can register an arbitrary function pointer as the global trace-full callback. The kernel executes this pointer directly from privileged kernel code without validation or a trampoline when the trace buffer wraps. This can lead to a kernel fault resulting in a Denial of Service (DoS) if an invalid pointer is used, or allow code within the module to execute with kernel privileges (`CONTROL.nPRIV = 0`).