هذه إعادة صياغة وملخص للتحليل الفني العام الذي نشره VoidSec حول CVE-2026-40369، مع إضافة مخطط انسيابي وملاحظات دفاعية لفهمي الشخصي. جميع التفاصيل التقنية الأساسية مأخوذة من بحثه. لم أجري هندسة عكسية مستقلة على هذا الخطأ البرمجي.

CVE-2026-40369: تحليل دفاعي لبدائية الزيادة ذات الـ12 بايت في نواة ويندوز

تحليل تقني دفاعي لثغرة CVE-2026-40369، وهي ثغرة رفع امتيازات في نواة ويندوز (Windows Kernel Elevation of Privilege) توفّر بدائية كتابة إضافية مقيدة بحجم 12 بايت عبر NtQuerySystemInformation (الفئة 0xFD / 253).

يركز هذا التقرير على قيود قابلية الاستغلال، وتحليل السبب الجذري، والآثار الدفاعية بدلاً من التسلح (weaponization).

نظرة عامة

تسمح CVE-2026-40369 للمهاجم بإجراء كتابات إضافية إلى ثلاثة DWORDs متجاورة في ذاكرة النواة عند استدعاء NtQuerySystemInformation بفئة المعلومات 253 ومخزن مؤقت بطول صفري. وعلى الرغم من محدوديتها، يمكن استغلال هذه البدائية لتجاوز KASLR ورفع الامتيازات عند استهدافها بدقة.

يغطي هذا التحليل:

• إعادة بناء السبب الجذري لتجاوز فحص الاستطلاع (probe) وفحص الطول غير المُرجِع (non-returning length check)
• تحليل تفصيلي لبدائية الكتابة الإضافية ذات الـ12 بايت وقيودها
• تحليل رياضي لتقنية كسر KASLR عبر Feature_RestrictKernelAddressLeaks
• مراجعة مسارات الاستغلال الموثقة علنًا (حالة ميزة WIL + طرق بدائية قراءة بديلة)
• كتالوج للإزاحات (offsets) الخاصة بكل إصدار من كود إثبات المفهوم المنشور
• توصيات دفاعية للكشف والتحصين

أبرز النقاط

• تحليل حسابي دقيق للتلاعب ببايت حالة ميزة WIL (0x57 → 0x10)
• تمييز واضح بين هدفَي شرط القناع (mask condition) والبايت المحدد (exact byte) عند تعطيل تخفيف تسريب مؤشرات النواة
• فهرسة مسؤولة للإزاحات من مستودع الاستغلال العام
• تركيز قوي على قيود الاستغلال بدلاً من خطوات الاستغلال
• توصيات دفاعية للكشف والتخفيف