CVE-2019-16098

概要

Micro-Star MSI Afterburner 4.6.2.15658（別名 RTCore64.sys および RTCore32.sys）のドライバーは、認証された任意のユーザーが任意のメモリ、I/O ポート、および MSR に対して読み書きすることを許可します。これは、権限昇格、高権限でのコード実行、および情報漏えいに悪用される可能性があります。これらの署名付きドライバーは、Microsoft のドライバー署名ポリシーをバイパスして悪意のあるコードを展開するためにも使用される可能性があります。

• NT-AUTHORITY-SYSTEM-CONTEXT-RTCOREエクスプロイト

  このエクスプロイトは、CVE-2019-16098を再構築して悪用するものです。この脆弱性は、Micro-Star MSI Afterburner 4.6.2.15658（別名RTCore64.sysおよびRTCore32.sys）のドライバに存在し、任意の認証ユーザーが任意のメモリ、I/Oポート、MSRに対して読み書きを可能にします。ハードコードされたNtoskrnl.exeのベースアドレスを使用する代わりに、動的に計算し、フィールドオフセットを再計算しました。

• CVE-2019-16098エクスプロイト

  CVE-2019-16098 を RTCore64.sys ドライバーで悪用し、System プロセスのトークンをコピーすることで、低権限アカウントから SYSTEM へ権限昇格します。

• RTCore64-probePoC

  RTCore64.sysドライバー/デバイス（CVE-2019-16098）の脆弱性を利用してメモリ読み取りをテストするための小さなC++プログラムです。ドライバーを使用して自身のメモリから「秘密」を読み取ろうとし、ハンドルが閉じられているかどうかをテストします。実行前にRTCore64.sysドライバーが読み込まれている必要があります！