Mehrere lokale Privilegieneskalations-Schwachstellen im Little Orbit GFAC-Treiber (GFAC_Sys_x64.sys)

Zusammenfassung

Der GamersFirst Anti-Cheat (GFAC)-Kernelmodus-Treiber GFAC_Sys_x64.sys stellt privilegierte Funktionalität für Benutzermodus-Anwendungen über einen Minifilter-Kommunikationsport bereit. Unsichere Handhabung von benutzergesteuerten Eingaben, die über diesen Port empfangen werden, führt zu mehreren lokalen Schwachstellen, die von Denial-of-Service-Bedingungen bis hin zur vollständigen Privilegieneskalation zu SYSTEM reichen.

Drei unterschiedliche Probleme wurden identifiziert und werden in diesem Advisory gemeinsam verfolgt:

• CVE-2026-12166 — NULL-Zeiger-Dereferenzierung in der Treiberinitialisierung/-anforderungsbearbeitung, was zu einem Systemabsturz führt.
• CVE-2026-12167 — Unzureichende Zugriffskontrolle am Minifilter-Kommunikationsport, die es Benutzern mit niedrigen Berechtigungen ermöglicht, auf Funktionalität zuzugreifen, die nur für vertrauenswürdige Prozesse vorgesehen ist.
• CVE-2026-12168 — Beliebiger Kernel-Speicherschreibzugriff ("write-what-where"), der über den Kommunikationsport erreichbar ist, was die Änderung sensibler Kernel-Strukturen (z. B. Sicherheitstoken von Prozessen) und eine Privilegieneskalation zu SYSTEM ermöglicht.

Betroffene Komponente

• Treiber: GFAC_Sys_x64.sys
• Schnittstelle: Minifilter-Kommunikationsport, der für den Benutzermodus verfügbar ist
• Erreichbarkeit: Normale (nicht-administrative) lokale Benutzer

Technische Details

CVE-2026-12166 — NULL-Zeiger-Dereferenzierung

Die Initialisierungs- und Anforderungsbearbeitungslogik des Treibers enthält einen Codepfad, der von einem lokalen, nicht privilegierten Aufrufer zur Dereferenzierung eines NULL-Zeigers gebracht werden kann. Das Auslösen dieses Pfades führt dazu, dass der Treiber über eine NULL-Adresse liest oder schreibt, was das System zum Absturz bringt (BSOD) und einem Angreifer ermöglicht, wiederholt die Verfügbarkeit zu stören.

CVE-2026-12167 — Unzureichende Zugriffskontrolle am Kommunikationsport

Der Minifilter-Kommunikationsport erzwingt keinen ausreichend restriktiven Sicherheitsdeskriptor. Infolgedessen können nicht privilegierte, nicht-administrative Benutzer eine Verbindung zum Port öffnen und auf privilegierte Funktionalität zugreifen, die nur für vertrauenswürdige Prozesse eingeschränkt sein sollte. Dies erweitert die Angriffsfläche des Treibers erheblich und ist ein direkter Wegbereiter für die Ausnutzung der anderen in diesem Advisory genannten Probleme.

CVE-2026-12168 — Beliebiger Kernel-Speicherschreibzugriff

Über den Kommunikationsport empfangene Nachrichten werden verarbeitet, ohne dass vom Benutzer bereitgestellte Speicheradressen ausreichend validiert werden, bevor sie als Ziel eines Schreibvorgangs verwendet werden. Ein lokaler Angreifer kann eine manipulierte Anforderung mit einer vom Angreifer kontrollierten Zieladresse und einem Datenwert einreichen, wodurch der Treiber beliebige Daten in den Kernel-Speicher schreibt. Diese "write-what-where"-Grundform kann genutzt werden, um sensible OS-Strukturen – wie das Sicherheitstoken eines Prozesses – zu überschreiben, was zu einer Eskalation zu SYSTEM-Berechtigungen führt.

Hinweis: In diesem Advisory wird kein Proof-of-Concept-Exploit-Code veröffentlicht. Die obige technische Beschreibung ist bewusst auf das beschränkt, was zum Verständnis und zur Behebung der Probleme erforderlich ist.

Auswirkungen

• CVE-2026-12168 ermöglicht es einem lokalen, nicht privilegierten Angreifer, SYSTEM-Berechtigungen zu erlangen und Code mit Kernel-Level-Befugnissen auszuführen.
• CVE-2026-12167 legt privilegierte Treiberfunktionalität für nicht vertrauenswürdige lokale Benutzer offen und erhöht die Zugänglichkeit und Zuverlässigkeit der Ausnutzung der anderen Probleme.
• CVE-2026-12166 ermöglicht es jedem lokalen Benutzer, das System auf Abruf zum Absturz zu bringen, was zu einem Denial of Service führt.

Da GFAC als Teil von Anti-Cheat-Tools verteilt wird, die mit mehreren Spielen gebündelt sind, kann der betroffene Treiber auf Systemen vorhanden – und ladbar – sein, die zum Zeitpunkt der Ausnutzung weit über diejenigen hinausgehen, die aktiv am Spiel teilnehmen.

Empfehlungen

Für Verteidiger / Systembesitzer:

• Behandeln Sie GFAC_Sys_x64.sys bis zu einem Hersteller-Fix als anfällig.
• Stellen Sie sicher, dass der Treiber nicht vorhanden ist oder am Laden gehindert wird, wenn GFAC/Anti-Cheat-Funktionalität nicht erforderlich ist.
• Beschränken Sie den lokalen Zugriff auf vertrauenswürdige Benutzer, wenn GFAC-abhängige Spiele installiert bleiben müssen.
• Überwachen Sie auf unerwartete Verbindungen zum GFAC-Minifilter-Kommunikationsport.

Für den Hersteller:

• Wenden Sie einen restriktiven Sicherheitsdeskriptor auf den Minifilter-Kommunikationsport an, der den Zugriff auf vertrauenswürdige, entsprechend privilegierte Aufrufer beschränkt.
• Validieren Sie alle vom Benutzer bereitgestellten Zeiger/Adressen, bevor Sie in deren Auftrag Schreibvorgänge durchführen.
• Fügen Sie NULL-/Grenzprüfungen in Initialisierungs- und Anforderungsbearbeitungs-Codepfade ein.

Offenlegungszeitplan

Referenzen

• NVD: CVE-2026-12166
• NVD: CVE-2026-12167
• NVD: CVE-2026-12168

Danksagung

Entdeckt und gemeldet von Lucian Alexandru Necula.