CVE-2025-3464-AsIO3-LPE

CVE-2025-3464: استغلال لتصعيد الامتيازات المحلية بدون صلاحيات لبرنامج تشغيل AsIO3.sys من ASUS - تجاوز التحقق من النوع TOCTOU + تقليل وضع PreviousMode

CVE-2025-3464: تصعيد الامتيازات المحلية لبرنامج تشغيل AsIO3.sys

يعمل هذا الاستغلال فقط على Windows 11 22H2 أو إصدار أقدم. قامت Microsoft بإصلاح مشكلات PreviousMode.

استغلال لتصعيد الامتيازات المحلية لبرنامج تشغيل AsIO3.sys من ASUS. يحصل على صلاحيات NT AUTHORITY\SYSTEM

نظرة عامة

يرتبط هذا الاستغلال تجاوز التحقق من الهوية (CVE-2025-3464) مع بدائية تقليل لتصعيد الامتيازات من أي مستخدم محلي إلى SYSTEM.

الثغرات

CVE-2025-3464 - تجاوز التحقق من الهوية عبر TOCTOU

يتحقق برنامج تشغيل AsIO3.sys من العمليات المتصلة عن طريق التحقق مما إذا كان مسارها التنفيذي يحتوي على AsusCertService والتحقق من تجزئة SHA256. هذا التحقق عرضة لحالة سباق التحقق من الوقت عند الاستخدام (TOCTOU) باستخدام الروابط الصلبة NTFS.

سير الهجوم:

1. إنشاء رابط صلب في مسار يحتوي على AsusCertService يشير إلى الملف التنفيذي للاستغلال
2. إطلاق عملية فرعية عبر الرابط الصلب (مسار صورة العملية يمرر الآن التحقق من النص الفرعي)
3. تبديل الرابط الصلب للإشارة إلى AsusCertService.exe
4. تفتح العملية الفرعية مقبض الجهاز
5. يتم منح الإذن للعملية التي يتحكم بها المهاجم

ملاحظة: يتحقق برنامج التشغيل فقط مما إذا كان المسار يحتوي على AsusCertService عبر مطابقة النص الفرعي. أي مسار قابل للكتابة من قبل المستخدم يعمل (مثل C:\Users\Public\AsusCertService\)، مما يجعل هذه الثغرة قابلة للاستغلال بدون صلاحيات المسؤول.

بدائية التقليل (IOCTL 0xA0402450)

يكشف برنامج التشغيل عن IOCTL يستدعي ObfDereferenceObject على مؤشر يتحكم به المستخدم. يقوم هذا بإجراء تقليل ذري بمقدار 8 بايت عند (ObjectPtr - 0x30)، مما يوفر بدائية تقليل عشوائي.

الاستغلال عبر PreviousMode:

• تسريب عنوان KTHREAD عبر NtQuerySystemInformation(SystemHandleInformationEx)
• الهدف: KTHREAD + 0x232 (حقل PreviousMode)
• تقليل PreviousMode من 1 (وضع المستخدم) إلى 0 (وضع kernel)
• عند PreviousMode=0، يمكن لـ NtReadVirtualMemory/NtWriteVirtualMemory الوصول إلى ذاكرة kernel
• اجتياز قائمة EPROCESS، سرقة رمز SYSTEM
• استعادة PreviousMode إلى 1 قبل إطلاق شل

الاستخدام

# Compile (Linux cross-compile)
x86_64-w64-mingw32-gcc -O2 -o AsIO3_FullExploit.exe AsIO3_FullExploit.c -lntdll -lshlwapi

On target (requires AsIO3.sys loaded)

AsIO3_FullExploit.exe

المتطلبات الأساسية:

• تحميل برنامج تشغيل AsIO3.sys (يأتي مع ASUS Armoury Crate, AI Suite, إلخ)
• إمكانية الوصول إلى AsusCertService.exe (يبحث في مسارات التثبيت الشائعة لـ ASUS)

إزاحات الهيكل (Windows 11 22H2)

KTHREAD + 0x232 = PreviousMode KTHREAD + 0x220 = Process (EPROCESS pointer) EPROCESS + 0x440 = UniqueProcessId EPROCESS + 0x448 = ActiveProcessLinks EPROCESS + 0x4B8 = Token

ملاحظة: الإزاحات خاصة بالإصدار. تحقق من إصدار Windows المستهدف. يلقي Windows 23H2 خطأ PREVIOUS_MODE_MISMATCH (0x1f9). وهو إجراء تخفيف لحيل previous mode هذه.

ملاحظات تقنية

• يؤثر التقليل بمقدار 8 بايت عند KTHREAD+0x232 على الحقول المجاورة (UserAffinityPrimaryGroup, BasePriority)
• هام: يجب استعادة PreviousMode إلى 1 قبل استدعاء CreateProcess أو أي عمليات مساحة عنوان وضع المستخدم
• يؤدي الفشل في استعادة PreviousMode إلى شاشة زرقاء في nt!PspLocateInPEManifest أثناء إنشاء العملية

المراجع

• https://blog.talosintelligence.com/decrement-by-one-to-rule-them-all/
• مكونات برنامج تشغيل ASUS Armoury Crate / AI Suite

إخلاء مسؤولية

يتم توفير هذا الكود لأغراض البحث الأمني المصرح به والتعليم فقط. استخدمه فقط ضد الأنظمة التي تملكها أو لديك إذن صريح لاختبارها. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني.