Multiples Vulnérabilités d'Élévation de Privilèges Locaux dans le Pilote GFAC de Little Orbit (GFAC_Sys_x64.sys)

Résumé

Le pilote en mode noyau GamersFirst Anti-Cheat (GFAC), GFAC_Sys_x64.sys, expose des fonctionnalités privilégiées aux applications en mode utilisateur via un port de communication minifilter. Un traitement non sécurisé des entrées contrôlées par l'utilisateur reçues via ce port entraîne plusieurs vulnérabilités locales, allant de conditions de déni de service à une élévation complète de privilèges vers SYSTEM.

Trois problèmes distincts ont été identifiés et sont suivis ensemble dans cet avis :

• CVE-2026-12166 — Déférencement de pointeur NULL dans l'initialisation / le traitement des requêtes du pilote, conduisant à un plantage système.
• CVE-2026-12167 — Contrôle d'accès inapproprié sur le port de communication minifilter, permettant à des utilisateurs à faibles privilèges d'accéder à des fonctionnalités destinées uniquement à des processus de confiance.
• CVE-2026-12168 — Écriture arbitraire en mémoire noyau (« write-what-where ») accessible via le port de communication, permettant la modification de structures sensibles du noyau (par exemple, les jetons de sécurité de processus) et résultant en une élévation de privilèges vers SYSTEM.

Composant affecté

• Pilote : GFAC_Sys_x64.sys
• Interface : Port de communication minifilter exposé au mode utilisateur
• Accessibilité : Utilisateurs locaux standards (non-administrateurs)

Détails techniques

CVE-2026-12166 — Déférencement de pointeur NULL

La logique d'initialisation et de traitement des requêtes du pilote contient un chemin de code qui peut être amené à déréférencer un pointeur NULL par un appelant local non privilégié. Le déclenchement de ce chemin amène le pilote à lire ou écrire via une adresse NULL, plantant le système (BSOD) et permettant à un attaquant de perturber de manière répétée la disponibilité.

CVE-2026-12167 — Contrôle d'accès inapproprié sur le port de communication

Le port de communication minifilter n'applique pas un descripteur de sécurité suffisamment restrictif. En conséquence, des utilisateurs à faibles privilèges, non administrateurs, peuvent ouvrir une connexion au port et accéder à des fonctionnalités privilégiées qui devraient être réservées aux seuls processus de confiance. Cela élargit considérablement la surface d'attaque du pilote et est un facilitateur direct pour l'exploitation des autres problèmes de cet avis.

CVE-2026-12168 — Écriture arbitraire en mémoire noyau

Les messages reçus via le port de communication sont traités sans valider correctement les adresses mémoire fournies par l'utilisateur avant qu'elles ne soient utilisées comme destination d'une opération d'écriture. Un attaquant local peut soumettre une requête contrefaite contenant une adresse de destination et une valeur de données contrôlées par l'attaquant, ce qui amène le pilote à écrire des données arbitraires dans la mémoire noyau. Cette primitive d'écriture arbitraire peut être exploitée pour écraser des structures sensibles du système d'exploitation — comme un jeton de sécurité de processus — résultant en une élévation vers les privilèges SYSTEM.

Remarque : Aucun code d'exploit de preuve de concept n'est publié dans cet avis. La description technique ci-dessus est volontairement limitée à ce qui est nécessaire pour comprendre et corriger les problèmes.

Impact

• CVE-2026-12168 permet à un attaquant local non privilégié d'obtenir les privilèges SYSTEM et d'exécuter du code avec une autorité de niveau noyau.
• CVE-2026-12167 expose des fonctionnalités privilégiées du pilote à des utilisateurs locaux non fiables, augmentant l'accessibilité et la fiabilité de l'exploitation des autres problèmes.
• CVE-2026-12166 permet à tout utilisateur local de planter le système à la demande, entraînant un déni de service.

Étant donné que GFAC est distribué dans le cadre d'outils anti-triche fournis avec plusieurs jeux, le pilote concerné peut être présent — et chargeable — sur des systèmes bien au-delà de ceux activement utilisés pour jouer au moment de l'exploitation.

Recommandations

Pour les défenseurs / propriétaires de systèmes :

• Considérez GFAC_Sys_x64.sys comme vulnérable en attendant un correctif du fournisseur.
• Lorsque la fonctionnalité GFAC/anti-triche n'est pas requise, assurez-vous que le pilote n'est pas présent ou est empêché de se charger.
• Limitez l'accès local aux utilisateurs de confiance lorsque les jeux dépendant de GFAC doivent rester installés.
• Surveillez les connexions inattendues au port de communication minifilter GFAC.

Pour le fournisseur :

• Appliquez un descripteur de sécurité restrictif au port de communication minifilter, limitant l'accès aux appelants de confiance et dûment privilégiés.
• Validez tous les pointeurs/adresses fournis par l'utilisateur avant d'effectuer des écritures en leur nom.
• Ajoutez des vérifications de NULL/débordement aux chemins de code d'initialisation et de traitement des requêtes.

Calendrier de divulgation

Références

• NVD : CVE-2026-12166
• NVD : CVE-2026-12167
• NVD : CVE-2026-12168

Crédit

Découvert et signalé par Lucian Alexandru Necula.