最近、セキュリティ研究者が次のツイートを投稿しました。
レポートによると、攻撃者はこれらの脆弱性を利用して、通常のユーザー権限から最高の SYSTEM 権限に権限を昇格させたり、KASLR (カーネル アドレス スペース レイアウトのランダム化) 保護をバイパスしたり、カーネルの資格情報を盗んだり、さらには悪意のある動作を隠すためにカーネル コールバック テーブルを変更したりする可能性があります。
関係するドライバーはすべて公式の EV または WHQL 署名を持っているため、攻撃者はターゲット デバイスに追加のソフトウェアをインストールすることなく、悪意のあるペイロードを直接読み込むことができ、攻撃のしきい値は非常に低くなります。
その中で、Kingsoft Antivirus の kdhacker64_ev.sys ドライバーには明らかなバッファ割り当ての欠陥があります。
ドライバーがユーザー入力を処理するとき、割り当てられたバッファー サイズは実際に必要なサイズの半分しかないため、1160 バイトのデータがわずか 584 バイトの領域に書き込まれ、直接 512 バイトのカーネル プール オーバーフローが発生します。
ドライバーが有効な EV 署名を保持していることは注目に値します。これは、攻撃者がこの脆弱性を利用してシステムのセキュリティ チェックを簡単に回避し、デバイスを完全に制御できることを意味します。
360 Security Guard の脆弱性は、DsArk64.sys ドライバーに反映されています。
このドライバーを使用すると、IOCTL インターフェイスを介して 4 バイトのプロセス ID を渡すことができ、リング 0 レベルで ZwTerminateProcess 関数を直接呼び出すことができます。これにより、プロセスを強制的に終了したり、PPL (保護されたプロセス) メカニズムをバイパスしたりすることができ、システムのコア プロセスに脅威を与えることができます。
それだけでなく、ドライバーのカーネル読み取りおよび書き込み機能は AES-128-CBC 暗号化アルゴリズムを使用しますが、その復号キーはバイナリ ファイルの .data セクションにハードコーディングされており、すべてのバージョンで同じキーが使用されるため、攻撃者による解読の難易度が大幅に低下します。
現在、これら 2 つの高リスク脆弱性が LOLDrivers データベースに登録されています。
