CVE-2025-3464-AsIO3-LPE

CVE-2025-3464: 特権のないLPEエクスプロイト for ASUS AsIO3.sys - TOCTOU認証バイパス + PreviousModeデクリメント

CVE-2025-3464: AsIO3.sys ローカル特権昇格

このエクスプロイトはWindows 11 22H2以前でのみ動作します。MicrosoftはPreviousModeの不正操作を修正しました。

ASUS AsIO3.sysドライバ向けのローカル特権昇格エクスプロイトです。NT AUTHORITY\SYSTEMを取得します。

概要

このエクスプロイトは、認証バイパス (CVE-2025-3464) とデクリメントプリミティブを連鎖させ、任意のローカルユーザーからSYSTEMへ権限を昇格させます。

脆弱性

CVE-2025-3464 - TOCTOUによる認証バイパス

AsIO3.sysドライバは、呼び出し元プロセスの実行可能パスにAsusCertServiceが含まれているかどうかを確認し、SHA256ハッシュを検証することで検証を行います。このチェックは、NTFSハードリンクを使用したTime-of-Check-Time-of-Use (TOCTOU) 競合状態に対して脆弱です。

攻撃フロー:

1. AsusCertServiceを含むパスにエクスプロイト実行可能ファイルを指すハードリンクを作成
2. ハードリンク経由で子プロセスを生成（プロセスイメージパスがサブストリングチェックを通過するようになる）
3. ハードリンクをAsusCertService.exeを指すよう入れ替え
4. 子プロセスがデバイスハンドルを開く
5. 攻撃者が制御するプロセスに認可が付与される

注: ドライバはサブストリングマッチによってパスがAsusCertServiceを含むかどうかのみをチェックします。任意のユーザー書き込み可能なパス（例: C:\Users\Public\AsusCertService\）が使用可能なため、管理者権限なしで悪用可能です。

デクリメントプリミティブ (IOCTL 0xA0402450)

ドライバは、ユーザー制御のポインタに対してObfDereferenceObjectを呼び出すIOCTLを公開しています。これは(ObjectPtr - 0x30)で8バイトのアトミックデクリメントを実行し、任意のデクリメントプリミティブを提供します。

PreviousModeを介した悪用:

• NtQuerySystemInformation(SystemHandleInformationEx) を使用してKTHREADアドレスを漏洩
• ターゲット: KTHREAD + 0x232 (PreviousModeフィールド)
• PreviousModeを1 (UserMode) から0 (KernelMode) にデクリメント
• PreviousMode=0の状態で、NtReadVirtualMemory/NtWriteVirtualMemoryがカーネルメモリにアクセス可能
• EPROCESSリストを走査し、SYSTEMトークンを奪取
• シェルを生成する前にPreviousModeを1に復元

使用方法

# Compile (Linux cross-compile)
x86_64-w64-mingw32-gcc -O2 -o AsIO3_FullExploit.exe AsIO3_FullExploit.c -lntdll -lshlwapi

ターゲット上で (AsIO3.sysがロードされている必要あり)

AsIO3_FullExploit.exe

前提条件:

• AsIO3.sysドライバがロードされていること (ASUS Armoury Crate、AI Suiteなどに付属)
• AsusCertService.exeにアクセス可能であること (一般的なASUSインストールパスを検索)

構造体オフセット (Windows 11 22H2)

KTHREAD + 0x232 = PreviousMode KTHREAD + 0x220 = Process (EPROCESS pointer) EPROCESS + 0x440 = UniqueProcessId EPROCESS + 0x448 = ActiveProcessLinks EPROCESS + 0x4B8 = Token

注: オフセットはバージョン固有です。対象のWindowsビルドを確認してください。Windows 23H2ではPREVIOUS_MODE_MISMATCH (0x1f9)が発生します。これはPreviousModeトリックに対する緩和策です。

技術的注意事項

• KTHREAD+0x232での8バイトデクリメントは隣接フィールド (UserAffinityPrimaryGroup, BasePriority) に影響を与えます。
• 重要: PreviousModeはCreateProcessまたは任意のユーザーモードアドレス空間操作を呼び出す前に1に復元する必要があります。
• PreviousModeの復元に失敗すると、プロセス作成中にnt!PspLocateInPEManifestでBSODが発生します。

参考文献

• https://blog.talosintelligence.com/decrement-by-one-to-rule-them-all/
• ASUS Armoury Crate / AI Suite ドライバコンポーネント

免責事項

このコードは、認可されたセキュリティ研究および教育目的のみで提供されます。所有するシステム、またはテストする明示的な許可を得たシステムに対してのみ使用してください。コンピュータシステムへの不正アクセスは違法です。