CVE-2025-8061 Exploit

Übersicht

Proof-of-Concept-Exploit für LnvMSRIO.sys (Lenovo MSR I/O-Treiber), der beliebiges Lesen/Schreiben von physischem Arbeitsspeicher und Kernel-Speicherzugriff über Superfetch-VA-zu-PA-Übersetzung demonstriert.

Treiberinformationen

Angreifbare IOCTLs

Der Treiber stellt privilegierte Kernel-Operationen für den Benutzermodus bereit:

Eingabestrukturen

Physischer Speicher lesen (16 Bytes):

Offset 0:  UInt64  PhysicalAddress
Offset 8:  DWORD   AccessSize (1=byte, 2=word, 8=qword)
Offset 12: DWORD   Count (number of elements)

Physischer Speicher schreiben (16 Bytes Header + Daten):

Offset 0:  UInt64  PhysicalAddress
Offset 8:  DWORD   AccessSize
Offset 12: DWORD   Count
Offset 16: Data[]  (bytes to write)

Ausnutzungstechnik

VA-zu-PA-Übersetzung

Da der Treiber nur physischen Speicherzugriff bietet, verwenden wir die Superfetch-Technik, um Kernel-Virtualadressen in physische Adressen zu übersetzen:

1. Superfetch nach physischen Speicherbereichen abfragen über NtQuerySystemInformation(SystemSuperfetchInformation)
2. Eine VA→PA-Übersetzungstabelle aus PFN-Einträgen erstellen
3. Kernel-VAs in physische Adressen übersetzen
4. Physischen Speicher mit Treiber-IOCTLs lesen/schreiben

Verwendung

LnvMSRIOExploit.exe <path_to_LnvMSRIO.sys>

Anforderungen:

• Als Administrator ausführen
• 64-Bit-Windows (für Superfetch VA→PA)
• Die Treiberdatei muss unter dem angegebenen Pfad vorhanden sein

Build-Anleitung

1. Öffnen Sie LnvMSRIOExploit.dproj in der Delphi-IDE (RAD Studio)
2. Setzen Sie die Zielplattform auf Windows 64-Bit
3. Build → Projekt erstellen (Strg+Umschalt+F9)
4. Ausgabe: Win64\Release\LnvMSRIOExploit.exe

Haftungsausschluss

Dieses Tool wird ausschließlich für Bildungs- und autorisierte Sicherheitsforschungszwecke bereitgestellt. Die unbefugte Nutzung gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Genehmigung zum Testen haben, ist illegal. Der Autor übernimmt keine Haftung für Missbrauch.

Lizenz

Nur für Forschungs- und Bildungszwecke.