CVE-2025-3464-AsIO3-LPE

CVE-2025-3464: Exploit LPE senza privilegi per ASUS AsIO3.sys - bypass auth TOCTOU + decremento PreviousMode

CVE-2025-3464: Escalation di Privilegi Locali per AsIO3.sys

Questo exploit funziona solo su Windows 11 22H2 o precedenti. Microsoft ha corretto i giochi con PreviousMode.

Exploit di escalation di privilegi locali per il driver ASUS AsIO3.sys. Ottiene NT AUTHORITY\SYSTEM

Panoramica

Questo exploit combina un bypass dell'autenticazione (CVE-2025-3464) con una primitiva di decremento per elevare i privilegi da qualsiasi utente locale a SYSTEM.

Vulnerabilità

CVE-2025-3464 - Bypass dell'Autenticazione tramite TOCTOU

Il driver AsIO3.sys convalida i processi chiamanti verificando se il loro percorso eseguibile contiene AsusCertService e confermando un hash SHA256. Questo controllo è vulnerabile a una condizione di gara Time-of-Check-Time-of-Use (TOCTOU) che utilizza hardlink NTFS.

Flusso dell'attacco:

1. Creare un hardlink in un percorso che contiene AsusCertService che punti all'eseguibile dell'exploit
2. Generare un processo figlio tramite hardlink (il percorso dell'immagine del processo ora supera il controllo della sottostringa)
3. Scambiare l'hardlink in modo che punti a AsusCertService.exe
4. Il figlio apre un handle del dispositivo
5. Autorizzazione concessa al processo controllato dall'attaccante

Nota: Il driver controlla solo se il percorso contiene AsusCertService tramite corrispondenza di sottostringa. Qualsiasi percorso scrivibile dall'utente funziona (ad es., C:\Users\Public\AsusCertService\), rendendo ciò sfruttabile senza privilegi di amministratore.

Primitiva di Decremento (IOCTL 0xA0402450)

Il driver espone un IOCTL che chiama ObfDereferenceObject su un puntatore controllato dall'utente. Questo esegue un decremento atomico di 8 byte in (ObjectPtr - 0x30), fornendo una primitiva di decremento arbitrario.

Sfruttamento tramite PreviousMode:

• Perdere l'indirizzo KTHREAD tramite NtQuerySystemInformation(SystemHandleInformationEx)
• Obiettivo: KTHREAD + 0x232 (campo PreviousMode)
• Decrementare PreviousMode da 1 (UserMode) a 0 (KernelMode)
• Con PreviousMode=0, NtReadVirtualMemory/NtWriteVirtualMemory possono accedere alla memoria del kernel
• Attraversare la lista EPROCESS, rubare il token SYSTEM
• Ripristinare PreviousMode a 1 prima di generare la shell

Utilizzo

# Compile (Linux cross-compile)
x86_64-w64-mingw32-gcc -O2 -o AsIO3_FullExploit.exe AsIO3_FullExploit.c -lntdll -lshlwapi

Sul target (richiede AsIO3.sys caricato)

AsIO3_FullExploit.exe

Prerequisiti:

• Driver AsIO3.sys caricato (fornito con ASUS Armoury Crate, AI Suite, ecc.)
• AsusCertService.exe accessibile (cerca nei percorsi di installazione ASUS comuni)

Offset della Struttura (Windows 11 22H2)

KTHREAD + 0x232 = PreviousMode KTHREAD + 0x220 = Process (EPROCESS pointer) EPROCESS + 0x440 = UniqueProcessId EPROCESS + 0x448 = ActiveProcessLinks EPROCESS + 0x4B8 = Token

Nota: Gli offset sono specifici per versione. Verificare per la propria build di Windows di destinazione. Windows 23H2 genera un PREVIOUS_MODE_MISMATCH (0x1f9). Una mitigazione per questi trucchi di previous mode.

Note Tecniche

• Il decremento di 8 byte a KTHREAD+0x232 influisce sui campi adiacenti (UserAffinityPrimaryGroup, BasePriority)
• Critico: PreviousMode DEVE essere ripristinato a 1 prima di chiamare CreateProcess o qualsiasi operazione sullo spazio degli indirizzi in modalità utente
• La mancata ripristino di PreviousMode causa un BSOD in nt!PspLocateInPEManifest durante la creazione del processo

Riferimenti

• https://blog.talosintelligence.com/decrement-by-one-to-rule-them-all/
• Componenti del driver ASUS Armoury Crate / AI Suite

Dichiarazione di Non Responsabilità

Questo codice è fornito esclusivamente a scopo di ricerca sulla sicurezza autorizzata e educativa. Utilizzarlo solo su sistemi di cui si è proprietari o per i quali si ha esplicita autorizzazione al test. L'accesso non autorizzato a sistemi informatici è illegale.