CVE-2022-42045

Zusammenfassung

Wir haben eine beliebige Code-Einschleusung im Kernel-Mode-Treiber amsdk.sys von Zemana entdeckt, einem Teil des Zemana Antimalware SDK. Die Schwachstelle ermöglicht es, beliebigen Code in einen der Treibercodeabschnitte einzuschleusen und dann mit Kernel-Mode-Berechtigungen auszuführen (lokale Rechteausweitung von Admin auf Kernel-Modus). Diese Schwachstelle könnte beispielsweise genutzt werden, um die Treibersignaturerzwingung zu deaktivieren und anschließend unsignierte Kernel-Mode-Treiber zu installieren.

Details

Die anfällige Funktion befindet sich am Offset 0xBF60 vom Anfang des .text-Abschnitts von amsdk.sys. Diese Funktion ruft eine weitere am Offset 0xD664 auf. Die Funktion am Offset 0xD664 hat 4 Argumente:

1. Zieladresse: Adresse der Funktion im .hook-Abschnitt mit RWX-Zugriffsrechten. In unserem Fall zeigt dieses Argument auf die Funktion am Offset 0x1D0 vom Anfang des .hook-Abschnitts.
2. Quelladresse: Adresse eines Quellpuffers mit benutzergesteuertem Code.
3. Ein ganzzahliger Wert. In unserem Fall 128.
4. Eine Adresse einer Funktion innerhalb von ntoskrnl.exe. Diese Funktion wird unmittelbar nach dem Aufruf des Codes aus Argument 2 aufgerufen. ABER davor wird dieser Argumentwert um die Länge des Codes aus Argument 2 minus 1 erhöht. Diese Länge wird vom eingebetteten Lightweight-Disassembler des Treibers berechnet. Nach dem Aufruf des Codes aus Argument 2 wird die Steuerung also an arg_4 + arg_2_length – 1 übergeben.

IOCTL 0x80002044 ruft die Funktion am Offset 0xBF60 (.text-Abschnitt) auf und ermöglicht es, den Stub im .hook-Abschnitt mit beliebigem benutzergesteuertem Code zu füllen. IOCTL 0x80002014 (Lesen über SCSI) oder IOCTL 0x80002018 (Schreiben über SCSI) überträgt die Steuerung an diesen gefüllten Stub.

Betroffene Produkte

Mindestens Watchdog Anti-Malware 4.1.422 , Zemana AntiMalware 3.2.28. Diese Produkte enthalten denselben anfälligen Treiber, sind jedoch mit unterschiedlichen Zertifikaten signiert.

Zemana AntiLogger v2.74.2.664 weist die gleiche Schwachstelle auf. Anfällige Treiber: zamguard64.sys, zam64.sys.

Betroffene Betriebssysteme

64-Bit-Versionen von Windows: von Windows 7 bis Windows 11

Abhilfe

Deinstallieren Sie Zemana- oder Watchdog-Antimalware-Produkte. Fügen Sie Treibersignaturen zur schwarzen Liste hinzu.