hexatriene/nuc-winring0-fixWindows Update के माध्यम से Intel NUC WinRing0 असुरक्षित ड्राइवर (CVE-2020-14979) पुनर्स्थापना के लिए स्थायी समाधान
Windows Defender OpenHardwareMonitorLib.sys (WinRing0 ड्राइवर) को VulnerableDriver:WinNT/Winring0 के रूप में फ़्लैग करता है, जो CVE-2020-14979 के कारण है। यह ड्राइवर Intel के NUC Software Studio सेवा के साथ बंडल किया जाता है और Windows Update के माध्यम से पुनः इंस्टॉल हो जाता है।
यह रिपॉज़िटरी एक स्थायी समाधान प्रदान करती है।
performancedriverextension.inf NucSoftwareStudioService इंस्टॉल करता हैOpenHardwareMonitorLib.sys (WinRing0 कर्नेल ड्राइवर) तैनात करती हैIntel Corporation - Extension - 1.0.0.38 इसे बार-बार पुनः इंस्टॉल करता रहता हैIntel NUC Performance Driver (ACPI\INTC1036) एक ACPI डिवाइस है जो NUC-विशिष्ट सुविधाएँ प्रदान करता है:
भेद्य एक्सटेंशन इस बेस ड्राइवर से जुड़ता है। Windows Update डिवाइस को देखता है और उसके लिए ड्राइवर अपडेट प्रदान करता है।
यह Group Policy के माध्यम से ACPI डिवाइस को पूरी तरह से अक्षम कर देता है, जिससे कोई भी ड्राइवर लोड नहीं हो पाता।
scripts/disable-device-gpo.ps1 को Administrator के रूप में चलाएँ, या मैन्युअल रूप से:
# Run as Administrator
.\scripts\disable-device-gpo.ps1
बेस ड्राइवर को बनाए रखता है लेकिन इस डिवाइस के लिए सभी Windows Update ड्राइवर इंस्टॉलेशन को ब्लॉक करता है।
ट्रेड-ऑफ़:
scripts/block-driver-updates.ps1 को Administrator के रूप में चलाएँ।
कम स्थायी - यदि Intel नए संस्करण जारी करता है तो पुनः छिपाने की आवश्यकता होती है।
scripts/remove-and-hide.ps1 को Administrator के रूप में चलाएँ।
अपनी वर्तमान स्थिति जाँचें:
.\scripts\diagnose.ps1
| घटक | पथ |
|---|---|
| सेवा निष्पादन योग्य | C:\WINDOWS\System32\DriverStore\FileRepository\performancedriverextension.inf_amd64_*\Service\NucSoftwareStudioService.exe |
| भेद्य ड्राइवर | ...\Service\OpenHardwareMonitorLib.sys |
| बेस ड्राइवर inf | oem*.inf (PerformanceDriver) |
| एक्सटेंशन inf | performancedriverextension.inf |
कोई भी समाधान लागू करने के बाद, सत्यापित करें:
# Check service is gone
sc.exe query NucSoftwareStudioService
# Check no pending Intel extension updates
# (Run scripts/diagnose.ps1 for full status)
परिदृश्य: सत्यापित करें कि Group Policy डिवाइस ब्लॉक (विकल्प A) Windows Update द्वारा भेद्य ड्राइवर को इंस्टॉल करने के प्रयास के बावजूद बना रहता है।
परीक्षण प्रक्रिया:
ACPI\INTC1036 के लिए GPO ब्लॉक लागू किया (डिवाइस अक्षम)Windows Update द्वारा पैकेज इंस्टॉल करने के बाद परिणाम:
| जाँच | परिणाम |
|---|---|
| NucSoftwareStudioService | नहीं मिला (अच्छा) |
| ड्राइवर स्टोर | performancedriverextension.inf oem17.inf के रूप में स्टेज किया गया |
| OpenHardwareMonitorLib.sys | निकाला नहीं गया (अच्छा) |
| डिवाइस INTC1036 | अक्षम - GPO कायम रहा |
| GPO ब्लॉक रजिस्ट्री | सक्रिय |
मुख्य निष्कर्ष: GPO डिवाइस ब्लॉक प्रभावी सुरक्षा परत है। Windows Update ड्राइवर पैकेज को ड्राइवर स्टोर में स्टेज कर सकता है, लेकिन वह इसे सक्रिय नहीं कर सकता क्योंकि हार्डवेयर ID ब्लॉक है। भेद्य .sys फ़ाइल कभी निकाली या लोड नहीं की जाती।
GPO ब्लॉक के कायम रहने की पुष्टि करने के बाद, पूर्ण क्लीनअप पूरा किया:
pnputil /delete-driver oem17.infwushowhide.diagcab के माध्यम से Intel एक्सटेंशन अपडेट छिपायाअंतिम सत्यापित स्थिति:
| घटक | स्थिति |
|---|---|
| NucSoftwareStudioService | नहीं मिला ✓ |
| ड्राइवर स्टोर (performancedriverextension.inf) | साफ ✓ |
| OpenHardwareMonitorLib.sys | मौजूद नहीं ✓ |
| Intel NUC Performance Driver डिवाइस | अक्षम ✓ |
| Group Policy डिवाइस ब्लॉक | सक्रिय (INTC1036 ब्लॉक) ✓ |
| Intel एक्सटेंशन अपडेट | छिपा हुआ ✓ |
अकेला हार्डवेयर ID ब्लॉक ही पर्याप्त सुरक्षा है।
परीक्षण से सिद्ध हुआ कि Group Policy के माध्यम से ACPI\INTC1036 को ब्लॉक करना भेद्य ड्राइवर को कभी भी लोड होने से रोकता है, तब भी जब Windows Update सफलतापूर्वक ड्राइवर पैकेज डाउनलोड और स्टेज करता है। सेवा निष्पादन योग्य और .sys फ़ाइल कभी नहीं निकाली जाती क्योंकि लक्षित डिवाइस अक्षम है।
अनुशंसित न्यूनतम कॉन्फ़िगरेशन:
ACPI\INTC1036 के लिए GPO डिवाइस ब्लॉक — यह एकमात्र आवश्यक सुरक्षा हैइस दृष्टिकोण की सरलता ही इसकी ताकत है: एक एकल रजिस्ट्री-आधारित डिवाइस ब्लॉक अन्य डिवाइसों के लिए सामान्य Windows Update कार्यक्षमता में हस्तक्षेप किए बिना पूर्ण सुरक्षा प्रदान करता है।
जब Intel NUC Performance Driver डिवाइस (ACPI\INTC1036) अक्षम होता है:
अब उपलब्ध नहीं:
अभी भी सामान्य रूप से काम करता है:
अधिकांश उपयोगकर्ताओं के लिए यह स्वीकार्य क्यों है: NUC Performance Driver मुख्य रूप से पंखे/LED व्यवहार के सॉफ़्टवेयर अनुकूलन को सक्षम करता है। BIOS डिफ़ॉल्ट प्रोफ़ाइल प्रदान करता है जो बिना किसी Windows ड्राइवर के काम करती हैं। अधिकांश उपयोगकर्ता पंखा वक्र BIOS में एक बार सेट करते हैं और फिर कभी नहीं छूते। यदि आपको गतिशील Windows-आधारित पंखा नियंत्रण चाहिए (जैसे, गेमिंग प्रोफ़ाइल जो स्वचालित रूप से स्विच होती हैं), तो विकल्प A उपयुक्त नहीं हो सकता—इसके बजाय विकल्प B पर विचार करें।
# Remove the Group Policy block
Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force
# Re-enable the device
$device = Get-PnpDevice | Where-Object { $_.InstanceId -like '*INTC1036*' }
Enable-PnpDevice -InstanceId $device.InstanceId -Confirm:$false
Remove-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions" -Recurse -Force
यदि आपके पास अतिरिक्त निष्कर्ष या सुधार हैं, तो कृपया एक issue या PR खोलें।
MIT लाइसेंस - अपने जोखिम पर उपयोग करें। Administrator के रूप में चलाने से पहले हमेशा स्क्रिप्ट सत्यापित करें।