San BYOVDLL, che portava le DLL da casa

Patrono dei processi protetti, delle vecchie DLL firmate e di chi si presenta alla festa con la bottiglia già aperta.

Vita

Il 9 agosto 2024 Clément Labro di SCRT raccontò come iniettare codice in un processo Windows protetto (PPL) senza alcun driver: bastava convincerlo a caricare una vecchia versione di una sua DLL, ancora firmata da Microsoft ma piena di bug già corretti, come CVE-2023-36906 e CVE-2023-28229. La firma era valida, la versione no: Windows guardava il sigillo e non la data di scadenza.

Preghiera

O San BYOVDLL, che porti alla mensa del PPL gli avanzi del Patch Tuesday, fa' che i nostri sistemi riconoscano una DLL vecchia anche quando è ben firmata. Amen.

Come si festeggia

Si festeggia aggiornando Windows, attivando le regole di blocco per i binari vulnerabili e controllando la data, oltre alla firma.

Firma buona non fa DLL nuova.