これは、VoidSec氏によるCVE-2026-40369の公開技術解析を書き直し、要約したものです。さらに、自身の理解のためにフローチャートと防御的メモを追加しています。 核となる技術的詳細はすべて彼の研究に基づいています。私はこのバグに対して独立したリバースエンジニアリングは行っていません。

CVE-2026-40369：12バイトWindowsカーネルインクリメントプリミティブの防御的分析

CVE-2026-40369の防御的な技術分析です。これは、NtQuerySystemInformation（クラス 0xFD / 253）を介して制約付きの12バイト加算書き込みプリミティブを提供するWindowsカーネル権限昇格の脆弱性です。

本レポートは、悪用可能性の制約、根本原因分析、武器化ではなく防御的影響に焦点を当てています。

概要

CVE-2026-40369により、攻撃者は情報クラス253で長さゼロのバッファを指定してNtQuerySystemInformationを呼び出す際に、カーネルメモリ内の隣接する3つのDWORDに対して加算書き込みを実行できます。制限はありますが、このプリミティブは適切に標的を定めることでKASLRバイパスや権限昇格に利用される可能性があります。

この分析では以下を扱います：

• プローブバイパスと非リターン長さチェックの根本原因の再現
• 12バイト加算書き込みプリミティブとその制約の詳細な内訳
• Feature_RestrictKernelAddressLeaks KASLR無効化手法の数学的分析
• 公開されている悪用パス（WIL機能状態＋代替読み取りプリミティブ手法）のレビュー
• 公開PoCコードからのビルド固有オフセットのカタログ化
• 防御的検出と強化の推奨事項

主なポイント

• WIL機能状態バイト操作（0x57 → 0x10）の精密な算術解析
• カーネルポインタ漏洩緩和策を無効化する際のマスク条件と正確なバイト値の目標の明確な区別
• 公開エクスプロイトリポジトリからのオフセットの責任あるカタログ化
• 悪用手順ではなく悪用の制約に強く焦点を当てる
• 検出と緩和のための防御的推奨事項