CVE-2026-19195 - Preuve de concept

Modifications arbitraires de clés de registre via des requêtes IOCTL non authentifiées dans le pilote noyau de l'antivirus Jingyun (ZyArk.sys)

Actif concerné

Produit : Antivirus Jingyun

Version : 2.4.2.39

Composant : ZyArk.sys

Empreinte SHA-256 : E89927434EA9297D2845F107441F5E3D5337457E7B844FF4AF3755369E9E7C4E

Gravité

Élevée - 7.8 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)

Description de la vulnérabilité

Le pilote noyau ZyArk.sys de l'antivirus Jingyun expose une manipulation arbitraire des clés de registre via IOCTL avec des contrôles d'accès insuffisants. Le pilote crée son objet de périphérique avec un descripteur de sécurité accordant un accès complet à tout le monde. Le gestionnaire IOCTL 0x226AF0 achemine vers FUN_0001b32c, qui effectue des opérations de registre en mode noyau (ZwCreateKey, ZwOpenKey, ZwSetValueKey, ZwDeleteKey, etc.) en tant que SYSTEM sans aucune authentification de l'appelant. Cela permet aux utilisateurs standard à faibles privilèges de lire, écrire et supprimer toute clé de registre sur le système. Dans cet exemple, Windows Defender peut être complètement désactivé par des manipulations du registre.

Preuve de concept / Étapes pour reproduire

Exécutez l'exploit dans une invite de commandes standard à faibles privilèges avec le service noyau ZyArk.sys :

• soit avec l'antivirus Jingyun en cours d'exécution, soit
• Utilisez sc.exe pour créer manuellement un service noyau (sc.exe create ZyArk type= kernel binPath= ; sc.exe start ZyArk)

Mesures d'atténuation et recommandations

1. Réparer le SDDL du périphérique : accorder l'accès uniquement à SYSTEM et aux administrateurs intégrés.

2. Vérifier le processus appelant avant de traiter tout IOCTL : vérifier le PID de l'appelant par rapport à la liste autorisée et vérifier la signature numérique de l'appelant.