CVE-2019-16098

AltoPubblicato

Il driver in Micro-Star MSI Afterburner 4.6.2.15658 (noto anche come RTCore64.sys e RTCore32.sys) consente a qualsiasi utente autenticato di leggere e...

Pubblicato: 11 set 2019
Aggiornato: 5 ago 2024
Assegnazione CNA: mitre
Evidenza osservata: 8 ago 2026

CVSS primario

7,8/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Stima della probabilità EPSS

19,8%

Moderato · prossimi 30 giorni

Percentile: 97,4%
Data del modello: 15 ott 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

Riepilogo

Il driver in Micro-Star MSI Afterburner 4.6.2.15658 (noto anche come RTCore64.sys e RTCore32.sys) consente a qualsiasi utente autenticato di leggere e scrivere su memoria arbitraria, porte I/O e MSR. Ciò può essere sfruttato per l'elevazione dei privilegi, l'esecuzione di codice con privilegi elevati e la divulgazione di informazioni. Questi driver firmati possono inoltre essere utilizzati per bypassare la policy di firma dei driver di Microsoft al fine di distribuire codice dannoso.

Fonti

NT-AUTHORITY-SYSTEM-CONTEXT-RTCOREExploit
Questo exploit ricostruisce e sfrutta la CVE-2019-16098 presente nel driver Micro-Star MSI Afterburner 4.6.2.15658 (noto anche come RTCore64.sys e RTCore32.sys), che consente a qualsiasi utente autenticato di leggere e scrivere su memoria arbitraria, porte I/O e MSR. Invece di usare l'indirizzo di base hardcoded di Ntoskrnl.exe, l'ho calcolato dinamicamente e ricalcolato gli offset dei campi.
CVE-2019-16098Exploit
Sfrutta la CVE-2019-16098 nel driver RTCore64.sys per elevare i privilegi da un account a bassi privilegi a SYSTEM copiando il token del processo System.
RTCore64-probePoC
Un piccolo programma in C++ per testare la lettura della memoria utilizzando un driver/dispositivo vulnerabile RTCore64.sys (CVE-2019-16098). Tenta di leggere un "segreto" dalla propria memoria tramite il driver, per verificare se l'handle è stato chiuso. Richiede che il driver RTCore64.sys sia caricato prima dell'esecuzione!
cheat-engine-undetectableRicerca
Academic Research Edition - T1: Evasione in modalità utente (offuscamento + gateway syscall), T2: Ponte kernel BYOVD, T3: Hardware DMA (lavoro futuro).
VortexCry-Ransomware-ReleaseExploit
Ransomware avanzato che utilizza l'iniezione di processi e il caricamento di driver kernel tramite CVE-2019-16098 per crittografare i file, disabilitare il ripristino e richiedere un riscatto. Solo per ricerca.

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.

Riepilogo

Fonti

NT-AUTHORITY-SYSTEM-CONTEXT-RTCOREExploit

Questo exploit ricostruisce e sfrutta la CVE-2019-16098 presente nel driver Micro-Star MSI Afterburner 4.6.2.15658 (noto anche come RTCore64.sys e RTCore32.sys), che consente a qualsiasi utente autenticato di leggere e scrivere su memoria arbitraria, porte I/O e MSR. Invece di usare l'indirizzo di base hardcoded di Ntoskrnl.exe, l'ho calcolato dinamicamente e ricalcolato gli offset dei campi.

CVE-2019-16098Exploit

Sfrutta la CVE-2019-16098 nel driver RTCore64.sys per elevare i privilegi da un account a bassi privilegi a SYSTEM copiando il token del processo System.

RTCore64-probePoC

Un piccolo programma in C++ per testare la lettura della memoria utilizzando un driver/dispositivo vulnerabile RTCore64.sys (CVE-2019-16098). Tenta di leggere un "segreto" dalla propria memoria tramite il driver, per verificare se l'handle è stato chiuso. Richiede che il driver RTCore64.sys sia caricato prima dell'esecuzione!

cheat-engine-undetectableRicerca

Academic Research Edition - T1: Evasione in modalità utente (offuscamento + gateway syscall), T2: Ponte kernel BYOVD, T3: Hardware DMA (lavoro futuro).

VortexCry-Ransomware-ReleaseExploit

Ransomware avanzato che utilizza l'iniezione di processi e il caricamento di driver kernel tramite CVE-2019-16098 per crittografare i file, disabilitare il ripristino e richiedere un riscatto. Solo per ricerca.