このリポジトリには、Windows の `afd.sys` ドライバーにおける重大な **Use-After-Free (UAF)** 型の脆弱性である **CVE-2026-68820** の緩和策に関する教育的なデモンストレーションが含まれています。
このリポジトリには、Windowsのafd.sysドライバにおける深刻な Use-After-Free (UAF) 型の脆弱性 CVE-2026-68820 に対する緩和策の教育用デモが含まれています。
脆弱性の背景:
src/afd_close_socket_patch.c のコードは、根本的な問題を修正する方法を示しています:
KeAcquireSpinLock を使用してソケットへの排他アクセスを実現します。NULL に設定します。InterlockedDecrement を使用し、アクティブな参照が存在しない場合にのみオブジェクトを解放します [citation:4]。detection/ フォルダには、関連する悪意のあるアクティビティを特定するためのルールが含まれています:
afd_uaf_privilege_escalation.yml: 不審なソケットの高速生成/破棄パターン(ヒープグルーミング)と権限昇格を検出します [citation:11][citation:15]。suspicious_service_creation_post_afd.yml: 異常なネットワークアクティビティの後に作成される不審なサービスを識別します [citation:15]。lazarus_fudmodule_rootkit.yar: このキャンペーンで使用されたルートキット FudModule v3.1 を検出します [citation:1][citation:14]。lazarus_relayshell_webshell.yar: C2リレーとして使用されるウェブシェル RelayShell を検出します [citation:1][citation:14]。troy_backdoor.yar: バックドア Troy を検出します [citation:1][citation:5]。iocs/cve-2026-68820_iocs.csv ファイルには、このキャンペーンに関連するハッシュ、ドメイン、IPアドレスが含まれています [citation:1][citation:13]。
このコードは、管理された環境における教育および研究目的のみを対象としています。 この情報の悪意のある使用は利用者の責任です。明示的な許可なくシステムを悪用するために使用してはなりません。
このプロジェクトはMITライセンスの下で提供されています(LICENSE を参照)。