Little Orbit GFAC ドライバー (GFAC_Sys_x64.sys) における複数のローカル権限昇格の脆弱性

概要

GamersFirst Anti-Cheat (GFAC) のカーネルモードドライバー GFAC_Sys_x64.sys は、ミニフィルター通信ポートを介してユーザーモードアプリケーションに特権機能を公開しています。このポートを介して受信したユーザー制御の入力の安全でない処理により、サービス拒否状態から SYSTEM への完全な権限昇格に至るまでの、複数のローカル脆弱性が発生します。

3 つの異なる問題が特定され、本アドバイザリではまとめて追跡しています:

• CVE-2026-12166 — ドライバーの初期化/リクエスト処理における NULL ポインター参照外し。システムクラッシュを引き起こします。
• CVE-2026-12167 — ミニフィルター通信ポートにおける不適切なアクセス制御。低権限ユーザーが信頼されたプロセス専用の機能にアクセスできるようになります。
• CVE-2026-12168 — 通信ポートを経由して到達可能な任意のカーネルメモリ書き込み（「write-what-where」）。プロセスのセキュリティトークンなどの重要なカーネル構造を改変でき、SYSTEM への権限昇格をもたらします。

影響を受けるコンポーネント

• ドライバー: GFAC_Sys_x64.sys
• インターフェース: ユーザーモードに公開されたミニフィルター通信ポート
• 到達可能性: 標準（非管理）のローカルユーザー

技術詳細

CVE-2026-12166 — NULL ポインター参照外し

ドライバーの初期化およびリクエスト処理ロジックには、ローカルの非特権呼び出し元によって NULL ポインターの参照外しを引き起こされるコードパスが存在します。このパスをトリガーすると、ドライバーが NULL アドレスを読み取りまたは書き込み、システムがクラッシュ (BSOD) します。攻撃者はこれを繰り返し利用して可用性を妨害できます。

CVE-2026-12167 — 通信ポートにおける不適切なアクセス制御

ミニフィルター通信ポートは、十分に制限的なセキュリティ記述子を適用していません。その結果、低特権の非管理ユーザーがポートへの接続を開き、信頼されたプロセスにのみ制限されるべき特権機能に到達できます。これによりドライバーの攻撃対象領域が大幅に拡大し、本アドバイザリの他の問題の悪用を直接容易にします。

CVE-2026-12168 — 任意のカーネルメモリ書き込み

通信ポートを介して受信したメッセージは、ユーザー指定のメモリアドレスが書き込み操作の宛先として使用される前に、適切に検証されません。ローカル攻撃者は、攻撃者が制御する宛先アドレスとデータ値を含む細工されたリクエストを送信し、ドライバーに任意のデータをカーネルメモリに書き込ませることができます。この write-what-where プリミティブを利用して、プロセスのセキュリティトークンなどの重要な OS 構造を上書きし、SYSTEM 権限への昇格を達成できます。

注記: 本アドバイザリには概念実証のエクスプロイトコードは公開されていません。上記の技術的説明は、問題の理解と是正に必要な範囲に意図的に限定されています。

影響

• CVE-2026-12168 により、ローカルの非特権攻撃者が SYSTEM 権限を取得し、カーネルレベルの権限でコードを実行できます。
• CVE-2026-12167 により、特権ドライバー機能が信頼されていないローカルユーザーに公開され、他の問題の悪用のアクセス性と信頼性が高まります。
• CVE-2026-12166 により、任意のローカルユーザーがオンデマンドでシステムをクラッシュさせ、サービス拒否を引き起こせます。

GFAC は複数のゲームにバンドルされたアンチチートツールの一部として配布されているため、影響を受けるドライバーは、悪用時点でゲームプレイに積極的に従事しているシステムだけでなく、それ以外のシステムにも存在し、ロード可能である可能性があります。

推奨事項

防御側/システム所有者向け:

• GFAC_Sys_x64.sys はベンダーの修正が提供されるまで脆弱であるものとして扱ってください。
• GFAC/アンチチート機能が不要な場合は、ドライバーが存在しないか、ロードされないようにしてください。
• GFAC 依存のゲームをインストールしておく必要がある場合は、ローカルアクセスを信頼されたユーザーに制限してください。
• GFAC ミニフィルター通信ポートへの予期しない接続を監視してください。

ベンダー向け:

• ミニフィルター通信ポートに制限的なセキュリティ記述子を適用し、信頼された適切に権限が付与された呼び出し元のみにアクセスを制限してください。
• 書き込みを実行する前に、ユーザー指定のポインター/アドレスをすべて検証してください。
• 初期化およびリクエスト処理のコードパスに NULL/境界チェックを追加してください。

開示タイムライン

参照

• NVD: CVE-2026-12166
• NVD: CVE-2026-12167
• NVD: CVE-2026-12168

クレジット

Lucian Alexandru Necula によって発見および報告されました。