लिटिल ऑर्बिट GFAC ड्राइवर (GFAC_Sys_x64.sys) में एकाधिक स्थानीय विशेषाधिकार वृद्धि भेद्यताएँ

सारांश

GamersFirst Anti-Cheat (GFAC) कर्नेल-मोड ड्राइवर, GFAC_Sys_x64.sys, एक minifilter संचार पोर्ट के माध्यम से उपयोगकर्ता-मोड अनुप्रयोगों को विशेषाधिकार प्राप्त कार्यक्षमता प्रदान करता है। इस पोर्ट के माध्यम से प्राप्त उपयोगकर्ता-नियंत्रित इनपुट का असुरक्षित प्रबंधन कई स्थानीय भेद्यताओं का कारण बनता है, जो सेवा अस्वीकार स्थितियों से लेकर SYSTEM में पूर्ण विशेषाधिकार वृद्धि तक होती हैं।

तीन अलग-अलग समस्याओं की पहचान की गई है और इस सलाह में उन्हें एक साथ ट्रैक किया गया है:

• CVE-2026-12166 — ड्राइवर आरंभीकरण/अनुरोध प्रबंधन में NULL पॉइंटर डीरेफरेंस, जिससे सिस्टम क्रैश होता है।
• CVE-2026-12167 — minifilter संचार पोर्ट पर अनुचित अभिगम नियंत्रण, जो निम्न-विशेषाधिकार वाले उपयोगकर्ताओं को केवल विश्वसनीय प्रक्रियाओं के लिए इच्छित कार्यक्षमता तक पहुँचने की अनुमति देता है।
• CVE-2026-12168 — संचार पोर्ट के माध्यम से पहुँच योग्य मनमाना कर्नेल मेमोरी राइट ("write-what-where"), जो संवेदनशील कर्नेल संरचनाओं (जैसे प्रक्रिया सुरक्षा टोकन) में संशोधन की अनुमति देता है और SYSTEM में विशेषाधिकार वृद्धि का परिणाम देता है।

प्रभावित घटक

• ड्राइवर: GFAC_Sys_x64.sys
• इंटरफ़ेस: उपयोगकर्ता मोड के लिए उजागर minifilter संचार पोर्ट
• पहुँच योग्यता: मानक (गैर-प्रशासनिक) स्थानीय उपयोगकर्ता

तकनीकी विवरण

CVE-2026-12166 — NULL पॉइंटर डीरेफरेंस

ड्राइवर के आरंभीकरण और अनुरोध-प्रबंधन तर्क में एक कोड पथ है जिसे स्थानीय, गैर-विशेषाधिकार प्राप्त कॉलर द्वारा NULL पॉइंटर को डीरेफरेंस करने के लिए प्रेरित किया जा सकता है। इस पथ को ट्रिगर करने से ड्राइवर NULL पते के माध्यम से पढ़ता या लिखता है, जिससे सिस्टम क्रैश (BSOD) होता है और एक हमलावर बार-बार उपलब्धता को बाधित कर सकता है।

CVE-2026-12167 — संचार पोर्ट पर अनुचित अभिगम नियंत्रण

minifilter संचार पोर्ट पर्याप्त रूप से प्रतिबंधात्मक सुरक्षा वर्णनकर्ता लागू नहीं करता है। इसके परिणामस्वरूप, निम्न-विशेषाधिकार वाले, गैर-प्रशासनिक उपयोगकर्ता पोर्ट से कनेक्शन खोल सकते हैं और विशेषाधिकार प्राप्त कार्यक्षमता तक पहुँच सकते हैं जो केवल विश्वसनीय प्रक्रियाओं तक सीमित होनी चाहिए। यह ड्राइवर की हमले की सतह को काफी बढ़ा देता है और इस सलाह में अन्य मुद्दों के शोषण के लिए प्रत्यक्ष सक्षमकर्ता है।

CVE-2026-12168 — मनमाना कर्नेल मेमोरी राइट

संचार पोर्ट के माध्यम से प्राप्त संदेशों को राइट ऑपरेशन के गंतव्य के रूप में उपयोग करने से पहले उपयोगकर्ता-आपूर्ति की गई मेमोरी पतों को पर्याप्त रूप से मान्य किए बिना संसाधित किया जाता है। एक स्थानीय हमलावर एक निर्मित अनुरोध प्रस्तुत कर सकता है जिसमें हमलावर-नियंत्रित गंतव्य पता और डेटा मान होता है, जिससे ड्राइवर कर्नेल मेमोरी में मनमाना डेटा लिखता है। इस write-what-where प्रिमिटिव का उपयोग संवेदनशील OS संरचनाओं — जैसे किसी प्रक्रिया के सुरक्षा टोकन — को अधिलेखित करने के लिए किया जा सकता है, जिसके परिणामस्वरूप SYSTEM विशेषाधिकारों तक वृद्धि होती है।

नोट: इस सलाह में कोई प्रूफ-ऑफ-कॉन्सेप्ट शोषण कोड प्रकाशित नहीं किया गया है। उपरोक्त तकनीकी विवरण जानबूझकर केवल उस तक सीमित है जो समस्याओं को समझने और उन्हें ठीक करने के लिए आवश्यक है।

प्रभाव

• CVE-2026-12168 एक स्थानीय, गैर-विशेषाधिकार प्राप्त हमलावर को SYSTEM विशेषाधिकार प्राप्त करने और कर्नेल-स्तरीय अधिकार के साथ कोड निष्पादित करने की अनुमति देता है।
• CVE-2026-12167 विशेषाधिकार प्राप्त ड्राइवर कार्यक्षमता को अविश्वसनीय स्थानीय उपयोगकर्ताओं के लिए उजागर करता है, जिससे अन्य मुद्दों के शोषण की पहुँच और विश्वसनीयता बढ़ जाती है।
• CVE-2026-12166 किसी भी स्थानीय उपयोगकर्ता को मांग पर सिस्टम को क्रैश करने की अनुमति देता है, जिसके परिणामस्वरूप सेवा अस्वीकार होती है।

क्योंकि GFAC को कई गेमों के साथ बंडल किए गए एंटी-चीट टूलिंग के भाग के रूप में वितरित किया जाता है, प्रभावित ड्राइवर उन सिस्टमों पर मौजूद — और लोड करने योग्य — हो सकता है जो शोषण के समय गेमप्ले में सक्रिय रूप से संलग्न नहीं हैं।

सिफारिशें

रक्षकों / सिस्टम मालिकों के लिए:

• GFAC_Sys_x64.sys को विक्रेता के फिक्स की प्रतीक्षा में कमजोर मानें।
• जहाँ GFAC/एंटी-चीट कार्यक्षमता की आवश्यकता नहीं है, सुनिश्चित करें कि ड्राइवर मौजूद नहीं है या इसे लोड होने से रोका गया है।
• जहाँ GFAC-निर्भर गेम स्थापित रहने चाहिए, स्थानीय पहुँच को विश्वसनीय उपयोगकर्ताओं तक सीमित रखें।
• GFAC minifilter संचार पोर्ट से अप्रत्याशित कनेक्शनों की निगरानी करें।

विक्रेता के लिए:

• minifilter संचार पोर्ट पर एक प्रतिबंधात्मक सुरक्षा वर्णनकर्ता लागू करें, पहुँच को विश्वसनीय, उपयुक्त विशेषाधिकार प्राप्त कॉलर तक सीमित करें।
• उनकी ओर से राइट करने से पहले सभी उपयोगकर्ता-आपूर्ति किए गए पॉइंटर/पतों को मान्य करें।
• आरंभीकरण और अनुरोध-प्रबंधन कोड पथों में NULL/सीमा जाँच जोड़ें।

प्रकटीकरण समयरेखा

संदर्भ

• NVD: CVE-2026-12166
• NVD: CVE-2026-12167
• NVD: CVE-2026-12168

श्रेय

द्वारा खोजा गया और रिपोर्ट किया गया Lucian Alexandru Necula।