Il lato oscuro del sandboxing Windows: vulnerabilità nel Brokering File System

Microsoft ha introdotto circa due anni fa Win32 App Isolation, un meccanismo pensato per rafforzare l’isolamento delle applicazioni sui sistemi Windows client. In parallelo è stato rilasciato il Brokering File System (BFS), un driver incaricato di mediare l’accesso a file system, pipe e registro da parte delle applicazioni eseguite in ambienti isolati, rendendolo una componente potenzialmente interessante dal punto di vista della sicurezza.

In questo contesto si colloca il CVE-2025-29970, una vulnerabilità di tipo use-after-free individuata nel driver bfs.sys, inizialmente scoperta da HT3Labs. L’analisi tecnica è stata condotta sulla versione 26100.4061 del driver e riguarda un errore nella gestione della memoria associata alle strutture interne di BFS.

BFS nasce insieme ad AppContainer e successivamente ad AppSilo, con l’obiettivo di controllare le operazioni di I/O provenienti da contesti isolati. Per farlo utilizza una serie di strutture dati che consentono di applicare policy di accesso basate su utente, applicazione e percorso, garantendo al contempo buone prestazioni.

Al centro di questo meccanismo c’è la PolicyTable, che memorizza le singole PolicyEntry in una tabella hash. Ogni PolicyEntry rappresenta una regola di accesso e include informazioni come il SID dell’utente, il SID dell’AppContainer e un riferimento a uno StorageObject, oltre a un contatore di riferimenti utilizzato per la gestione del ciclo di vita.

Lo StorageObject contiene i dettagli sui percorsi regolati dalla policy e utilizza più strutture interne, tra cui una DirectoryBlockList, una lista concatenata che rappresenta file e sottodirectory associati alla policy. Questa lista viene allocata quando viene aperta una directory radice e popolata con una o più voci nel corso del tempo.

La vulnerabilità CVE-2025-29970 emerge durante la fase di rimozione di una policy, in particolare nella funzione BfsCloseStorage. Durante la deallocazione della DirectoryBlockList, l’inizio della lista viene liberata all’interno del ciclo che scorre gli elementi, causando una dereferenziazione di memoria già liberata nel caso in cui la lista contenga più di una voce.

Microsoft ha corretto il problema separando la logica di deallocazione. Con l’introduzione della funzione BfsCloseRootDirectory, tutti gli elementi della lista concatenata vengono liberati prima della deallocazione della sua testa, eliminando così la condizione di use-after-free alla radice.

Dal punto di vista dello sfruttamento, la vulnerabilità offre margini limitati: il puntatore coinvolto non consente letture o scritture arbitrarie e la finestra temporale tra la liberazione della memoria e il suo riutilizzo è estremamente ridotta. Nonostante ciò, il caso conferma come driver legati al sandboxing restino una superficie d’attacco rilevante, soprattutto con l’aumento delle funzionalità di isolamento su Windows.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Marcello Filacchioni

ICT CISO e Cyber Security Manager con oltre vent’anni di esperienza tra settore pubblico e privato, ha guidato progetti di sicurezza informatica per realtà di primo piano. Specializzato in risk management, governance e trasformazione digitale, ha collaborato con vendor internazionali e startup innovative, contribuendo all’introduzione di soluzioni di cybersecurity avanzate. Possiede numerose certificazioni (CISM, CRISC, CISA, PMP, ITIL, CEH, Cisco, Microsoft, VMware) e svolge attività di docenza pro bono in ambito Cyber Security, unendo passione per l’innovazione tecnologica e impegno nella diffusione della cultura della sicurezza digitale.

Aree di competenza: Cyber Security Strategy & Governance, Vulnerability Management & Security Operations.