Les évasions guest-to-host Hyper-V qui ont été publiées se regroupent dans les composants de la partition racine qui analysent des données contrôlées par l'invité. Connaître ce schéma permet à un attaquant de faire correspondre un build Windows/Hyper-V cible au composant le plus susceptible de porter un bug exploitable :
- vmswitch et netvsp : le datapath réseau et le VSP réseau synthétique, analysant RNDIS et les descripteurs de buffer dans le noyau de la partition racine, un groupe récurrent et à fort impact.
- VSP vidéo synthétique (synthvid) : analyse de descripteurs de mode et de région avec une géométrie contrôlée par l'invité.
- VSP stockage synthétique (storvsp) : gestion des requêtes SCSI et des descripteurs de transfert.
- Transport VMBus et GPADL : gestion des paquets de ring et de l'enregistrement de la mémoire invitée sous les périphériques.
- Hypercalls : l'interface d'hypercalls de l'hyperviseur, où des failles dans la gestion des paramètres affectent l'hyperviseur lui-même plutôt que la partition racine.
Utiliser le schéma#
# fingerprint the exact build (decides which component is vulnerable)
[System.Environment]::OSVersion.Version; (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR
# from the guest, confirm which synthetic devices/paths are present
Get-PnpDevice | ? InstanceId -like 'VMBUS*'
Identifiez le build exact, confirmez quels périphériques et chemins synthétiques l'invité expose, et faites correspondre le build à l'avis MSRC pour ce composant. Les évasions sont spécifiques au build et nécessitent généralement une fuite d'information couplée à la primitive de corruption mémoire ; les bugs vmswitch sont de niveau noyau dans la partition racine et comptent parmi ceux au plus fort impact.
Notes d'exploitation#
- Le chemin réseau (vmswitch/netvsp) est le groupe récurrent marquant et atterrit dans le noyau de la partition racine ; traitez-le comme le premier endroit à examiner sur un invité connecté au réseau.
- Les bugs de l'interface d'hypercalls sont distincts : ils peuvent affecter l'hyperviseur directement, une classe différente et sévère par rapport à la corruption de la partition racine.
- Les mécanismes figurent sur les pages par surface sous Évasion guest-to-host ; cette page est une aide à la correspondance, pas une source de PoC.