cve-2026-3437

portwell.sys (Portwell Engineering Toolkits v4.8.2) में MmMapIoSpace के माध्यम से मनमाना भौतिक मेमोरी रीड/राइट। ड्राइवर के IOCTL इंटरफ़ेस के साथ इंटरैक्ट करके LPE/SYSTEM एस्केलेशन और BYOVD को सक्षम बनाता है।

विश्लेषण

ड्राइवर IRP_MJ_DEVICE_CONTROL के लिए एक डिस्पैच रूटीन पंजीकृत करता है ताकि यूज़रमोड से DeviceIoControl कॉल को हैंडल किया जा सके।

डिस्पैच रूटीन के अंदर हम sub_11F80 के लिए एक कॉल पा सकते हैं।

इस फ़ंक्शन के अंदर देखने पर निम्नलिखित का पता चलता है:

1. MmMapIoSpace के माध्यम से मनमाना भौतिक मेमोरी राइट
2. उपयोगकर्ता द्वारा प्रदत्त तर्कों का कोई सत्यापन नहीं
3. एक यूज़रमोड कॉलर मनमाना भौतिक पता और डेटा पास कर सकता है

डिस्पैच रूटीन पर वापस जाकर, हम sub_11E40 के लिए एक कॉल भी पा सकते हैं।

इस फ़ंक्शन के अंदर देखने पर निम्नलिखित का पता चलता है:

1. MmMapIoSpace के माध्यम से मनमाना भौतिक मेमोरी रीड
2. उपयोगकर्ता द्वारा प्रदत्त तर्कों का कोई सत्यापन नहीं

उपयोग

sc create portwell binPath=C:\windows\temp\portwell.sys type=kernel
sc start portwell

.\cve-2026-3437.exe

संदर्भ

• 🔍 SentinelOne विश्लेषण
• 🛡️ LOLDrivers
• 📋 NVD रिकॉर्ड
• 🐙 GitHub एडवाइज़री