Múltiples vulnerabilidades de escalada de privilegios local en el controlador GFAC de Little Orbit (GFAC_Sys_x64.sys)

IDs de CVE	CVE-2026-12166, CVE-2026-12167, CVE-2026-12168
Proveedor	Little Orbit
Producto	Controlador GamersFirst Anti-Cheat (GFAC) (GFAC_Sys_x64.sys)
Versiones afectadas	No hay información de versión incrustada en el binario del controlador. Muestra analizada: SHA-256 b6748d7da5759dee7d5f2f32b0326b4edb7b2135a0e4a6d5ff26aef1e139d8b2
Tipos de vulnerabilidad	Desreferencia de puntero NULL (CWE-476), Control de acceso inadecuado (CWE-284), Escritura arbitraria en memoria del kernel (CWE-787)
Impacto	Denegación de servicio (BSOD), Escalada de privilegios a SYSTEM
Vector de ataque	Local
Privilegios requeridos	Bajo (cualquier usuario local)
Probado en	Windows 10/11 x64
Investigador	Lucian Alexandru Necula

Resumen

El controlador en modo kernel de GamersFirst Anti-Cheat (GFAC), GFAC_Sys_x64.sys, expone funcionalidad privilegiada a aplicaciones en modo usuario a través de un puerto de comunicación minifilter. El manejo inseguro de la entrada controlada por el usuario recibida a través de este puerto resulta en múltiples vulnerabilidades locales, que van desde condiciones de denegación de servicio hasta escalada completa de privilegios a SYSTEM.

Se identificaron tres problemas distintos y se rastrean juntos en este aviso:

• CVE-2026-12166 — Desreferencia de puntero NULL en la inicialización del controlador / manejo de solicitudes, que provoca un bloqueo del sistema.
• CVE-2026-12167 — Control de acceso inadecuado en el puerto de comunicación minifilter, que permite a usuarios con pocos privilegios acceder a funcionalidad destinada solo a procesos de confianza.
• CVE-2026-12168 — Escritura arbitraria en memoria del kernel ("escribe-lo-que-donde") accesible a través del puerto de comunicación, que permite la modificación de estructuras sensibles del kernel (por ejemplo, tokens de seguridad de procesos) y resulta en escalada de privilegios a SYSTEM.

Componente afectado

• Controlador: GFAC_Sys_x64.sys
• Interfaz: Puerto de comunicación minifilter expuesto al modo usuario
• Alcance: Usuarios locales estándar (no administrativos)

Detalles técnicos

CVE-2026-12166 — Desreferencia de puntero NULL

El código de inicialización y manejo de solicitudes del controlador contiene una ruta de código que puede ser llevada a desreferenciar un puntero NULL por parte de un llamante local sin privilegios. Activar esta ruta hace que el controlador lea o escriba a través de una dirección NULL, bloqueando el sistema (BSOD) y permitiendo a un atacante interrumpir repetidamente la disponibilidad.

CVE-2026-12167 — Control de acceso inadecuado en el puerto de comunicación

El puerto de comunicación minifilter no aplica un descriptor de seguridad suficientemente restrictivo. Como resultado, los usuarios con pocos privilegios y no administrativos pueden abrir una conexión al puerto y acceder a funcionalidad privilegiada que debería estar restringida solo a procesos de confianza. Esto amplía significativamente la superficie de ataque del controlador y es un facilitador directo para la explotación de los otros problemas en este aviso.

CVE-2026-12168 — Escritura arbitraria en memoria del kernel

Los mensajes recibidos a través del puerto de comunicación se procesan sin validar adecuadamente las direcciones de memoria proporcionadas por el usuario antes de usarlas como destino de una operación de escritura. Un atacante local puede enviar una solicitud manipulada que contenga una dirección de destino y un valor de datos controlados por el atacante, lo que hace que el controlador escriba datos arbitrarios en la memoria del kernel. Esta primitiva de escritura-lo-que-donde se puede aprovechar para sobrescribir estructuras sensibles del sistema operativo, como el token de seguridad de un proceso, lo que resulta en una escalada a privilegios SYSTEM.

Nota: No se publica código de prueba de concepto (PoC) en este aviso. La descripción técnica anterior está intencionalmente limitada a lo necesario para comprender y remediar los problemas.

Impacto

• CVE-2026-12168 permite a un atacante local sin privilegios obtener privilegios SYSTEM y ejecutar código con autoridad a nivel de kernel.
• CVE-2026-12167 expone funcionalidad privilegiada del controlador a usuarios locales no confiables, aumentando la accesibilidad y confiabilidad de la explotación de los otros problemas.
• CVE-2026-12166 permite a cualquier usuario local bloquear el sistema a voluntad, resultando en denegación de servicio.

Debido a que GFAC se distribuye como parte de herramientas anti-trampas incluidas con múltiples juegos, el controlador afectado puede estar presente — y cargable — en sistemas más allá de aquellos que están jugando activamente en el momento de la explotación.

Recomendaciones

Para defensores / propietarios de sistemas:

• Trate GFAC_Sys_x64.sys como vulnerable hasta que el proveedor publique una corrección.
• Donde la funcionalidad GFAC/anti-trampas no sea necesaria, asegúrese de que el controlador no esté presente o se impida su carga.
• Restrinja el acceso local a usuarios de confianza donde los juegos que dependen de GFAC deban permanecer instalados.
• Supervise las conexiones inesperadas al puerto de comunicación minifilter de GFAC.

Para el proveedor:

• Aplique un descriptor de seguridad restrictivo al puerto de comunicación minifilter, limitando el acceso a llamantes de confianza con los privilegios adecuados.
• Valide todos los punteros/direcciones proporcionados por el usuario antes de realizar escrituras en su nombre.
• Agregue verificaciones de NULL/límites en las rutas de código de inicialización y manejo de solicitudes.

Cronograma de divulgación

Fecha	Evento
2026-04-01	Se contactó directamente al proveedor (Little Orbit) para reportar las vulnerabilidades
2026-04-20	Se presentó el caso a CERT/CC para divulgación coordinada
—	No se recibió respuesta del proveedor durante todo el proceso de coordinación
—	CVE-2026-12166 / -12167 / -12168 — actualmente RESERVADOS, pendientes de asignación pública en CVE.org/NVD
2026-07-02	Publicación del aviso público (este documento)

Referencias

• NVD: CVE-2026-12166
• NVD: CVE-2026-12167
• NVD: CVE-2026-12168

Crédito

Descubierto y reportado por Lucian Alexandru Necula.