CVE-2025-7771 – ThrottleStop.sys Privilege Escalation

CVE-2025-7771 | CVSS 8.7 | Lokale Rechteausweitung

Übersicht

ThrottleStop.sys stellt uneingeschränkte IOCTL-Schnittstellen bereit, die über MmMapIoSpace beliebigen physischen Speicherzugriff ermöglichen. Dies ermöglicht eine lokale Rechteausweitung durch Patchen des Kernel-Speichers und Ausführen von beliebigem Code im Ring-0-Kontext.

Betroffene Komponente: ThrottleStop.sys (TechPowerUp)
Schwachstellentyp: Exponierter IOCTL mit unzureichender Zugriffskontrolle (CWE-782)
Auswirkung: Lokale Rechteausweitung
Treiberstatus: Digital signiert, kompatibel mit Core Isolation

Technische Details

Angreifbare IOCTLs

Exploit-Methode

1. Handle auf \\Device\\ThrottleStop öffnen
2. DeviceIoControl mit den anfälligen IOCTLs verwenden
3. Beliebigen physischen Speicher über MmMapIoSpace abbilden
4. Kernel-Strukturen oder Funktionszeiger patchen
5. Beliebigen Code im Kernel-Kontext ausführen

Proof of Concept

Diese Implementierung demonstriert die Ausnutzung der ThrottleStop.sys-Schwachstelle durch:

• Erwerb des Treiber-Handles über CreateFileW
• Prozessauflistung und -auswahl
• Lese-/Schreiboperationen auf physischem Speicher mittels anfälliger IOCTLs
• Vorlagenbasierte Speicheroperationen für verschiedene Datentypen
• Pufferoperationen für größere Speicherbereiche

Kompilierung & Verwendung

Build

msbuild throttlestop.sln /p:Configuration=Release /p:Platform=x64

Treiberdienst einrichten

# Dienst erstellen
sc create ThrottleStop binPath= "C:\path\to\ThrottleStop.sys" type= kernel

# Dienst starten
sc start ThrottleStop

Ausführung

.\usermode\usermode.exe

Voraussetzungen: Administratorrechte, Visual Studio 2019/2022, ThrottleStop.sys-Treiberdienst

Code-Struktur

throttlestop/
├── usermode/
│   ├── Entry.cpp              # Hauptprogramm-Einstiegspunkt
│   ├── Driver/
│   │   └── Driver.h           # Implementierung der MemoryDriver-Klasse
│   └── usermode.vcxproj       # Visual Studio-Projektdatei
├── ThrottleStop.sys           # Anfälliges Treiberbinär
└── throttlestop.sln           # Projektmappendatei

Implementierungsdetails

• MemoryDriver-Klasse: Treiberkommunikation und Speicheroperationen
• IOCTL-Handler: 0x80006498 (Lesen), 0x8000649C (Schreiben)
• Prozessauswahl: Automatische Prozessauflistung und -auswahl
• Speicheroperationen: Vorlagenbasiertes Lesen/Schreiben mit Pufferunterstützung

Treiberzertifikate

Digitale Signaturen:

• TechPowerUp LLC (SHA1)
• Microsoft Windows Hardware Compatibility Publisher (SHA256)
• TechPowerUp LLC (SHA1)

Sicherheitsimplikationen:

• Der Treiber umgeht die Treibersignaturerzwingung (DSE)
• Kompatibel mit Systemen mit aktiviertem Core Isolation
• Von Windows als legitimer Hardwaretreiber vertrauenswürdig eingestuft
• Keine Warnungen oder Blockaden wegen unsignierter Treiber

Abhilfemaßnahmen

• Entfernen Sie ThrottleStop.sys, falls nicht benötigt
• Blockieren Sie nicht signierte/unverifizierte Treiber
• Aktivieren Sie die Kernel-Mode-Code-Integrität (KMCI)
• Überwachen Sie den Zugriff auf \\Device\\ThrottleStop
• Erkennen Sie DeviceIoControl-Aufrufe mit den IOCTL-Codes 0x80006498 und 0x8000649C

Referenzen

• INCIBE-CERT-Beratung zu CVE-2025-7771
• Kaspersky-Analyse der Ausnutzung von ThrottleStop.sys
• Bewährte Methoden für die Treibersicherheit von Microsoft

Analysebilder

IOCTL-Handler-Analyse

Physischen Speicher lesen (0x80006498)

Physischen Speicher schreiben (0x8000649C)

Diese Screenshots zeigen die anfälligen IOCTL-Handler in ThrottleStop.sys, die uneingeschränkten physischen Speicherzugriff über MmMapIoSpace ermöglichen.

Haftungsausschluss

Dieses Repository dient ausschließlich zu Bildungs- und defensiven Forschungszwecken. Jegliche unbefugte Nutzung zur Kompromittierung von Systemen ist illegal und untersagt. Nutzung auf eigene Gefahr nur in kontrollierten Umgebungen.