crypte1/cve-2026-38053---remove-pplBYOVD Remove PPL for 24H2 and 25H2
BYOVD で 24H2 および 25H2 向けに PPL を削除
Wise System Monitor v1.5.3.127 の IOCTL 0x12C807 (METHOD_NEITHER) ハンドラにおける任意メモリ書き込みにより、 攻撃者は細工された入力を介して PPL の削除またはサービス拒否 (DoS) を引き起こすことができます。
[追加情報]
lsass.exe (Windows 11 25H2) に対するPPL削除を実証する概念実証 (PoC) エクスプロイトが開発されました。
[脆弱性タイプ その他]
任意メモリ書き込み
[製品ベンダー]
WiseCleaner (WiseCleaner.com)
[影響を受ける製品コードベース]
Wise System Monitor (具体的にはドライバー WiseTDIFw64.sys) - 1.5.3.127 (ドライバーバージョン: 1.1.4.36)
[影響を受けるコンポーネント]
WiseTDI ファイアウォール カーネルドライバー: WiseTDIFw64.sys バージョン 1.1.4.36
[攻撃種別]
ローカル
[CVE影響 その他]
ローカル管理者は、ドライバー内の任意カーネルメモリ書き込みプリミティブを悪用することで、lsass.exe 上の Windows Protected Process Light (PPL) をバイパスできます。これにより、LSASS プロセスメモリへの完全な読み取り/書き込みアクセスが可能になり、資格情報のダンプ (例: Mimikatz を使用) が可能になります。影響を受けるシステムにおける資格情報の分離の整合性は完全に侵害されます。
[攻撃ベクター]
ローカル。攻撃者は、ターゲットマシン上で Administrator レベルの権限を持ち、デバイス (\.\WiseTdiFw) へのハンドルを開いて IOCTL を発行する必要があります。これ以外にネットワークアクセスやユーザーの操作は必要ありません。
[参考]
