CVE-2025-7771 — ThrottleStop.sys LPE

CVE-2025-7771 の概念実証。ThrottleStop.sys は、アクセス制御なしで任意の物理メモリ読み取り/書き込みを可能にする2つのIOCTLハンドラを公開しています。つまり、任意の管理者プロセスが物理RAM内の任意の場所を読み書きできます。

Windows 10 22H2 および Windows 11 23H2 x64 でテスト済み。

やったこと

まずドライババイナリを IDA Pro にロードし、内部の動作を理解しました。IRP_MJ_DEVICE_CONTROL ディスパッチルーチンを見つけ、2つのIOCTLコードまで追跡しました。

• 0x80006498 — 物理アドレスからの読み取り
• 0x8000649C — 物理アドレスへの書き込み

どちらも指定されたアドレスをそのまま MmMapIoSpace に渡すだけです。境界チェックも呼び出し元の検証も何もありません。それがバグです。

そこからの攻撃パスは非常に単純です。

1. \\.\ThrottleStop へのハンドルを開く
2. Superfetch PFN クエリ（NtQuerySystemInformation クラス 79）を使用して仮想→物理アドレス変換マップを構築する
3. NtQuerySystemInformation クラス 11 を介して ntoskrnl ベースをリークする
4. ディスクから ntoskrnl.exe をロードして PsInitialSystemProcess エクスポート RVA を解決し、実行時ベースに加算してカーネル VA を取得する
5. その VA を物理アドレスに変換して読み取り、SYSTEM EPROCESS ポインタを取得する
6. EPROCESS+0x4b8 から SYSTEM トークンを読み取る
7. ActiveProcessLinks を辿って自身の EPROCESS を見つける
8. 自身のトークンフィールドに SYSTEM トークンを書き込む（物理書き込みにより、すべての仮想メモリ保護をバイパス）
9. cmd.exe を起動する — これにより今や SYSTEM となったトークンが継承される

トークンフィールドは _EX_FAST_REF であるため、下位4ビットは参照カウントでありポインタの一部ではありません。SYSTEM トークンを読み取るときはそれらのビットをマスクし、書き込むときは自身の参照カウントビットを保持します。そうしないと BSOD の危険があります。

ビルド

cl /std:c++20 /EHsc /O2 exploit_single.cpp /link ntdll.lib advapi32.lib

MSVC (VS2022+) が必要です。また、ドライバがロードされている必要があります。管理者として実行してください。

EPROCESS オフセット

これらは Windows 10 20H2 ～ 22H2 および Windows 11 22H2/23H2 x64 用です。別のビルドの場合は、WinDbg で dt nt!_EPROCESS を確認してください。

参考情報

• CVE-2025-7771
• 実際の環境での活発な悪用に関する Kaspersky の調査
• jonomango/superfetch

教育および研究目的のみ。個人のVMでテスト済み。