Fortinet fortimon3_74.sys - 未認証の Kill コマンドによる PPL バイパス

概要

Fortinet の fortimon3_74.sys カーネルドライバ (FortiClient の「anti-exploit」ミニフィルタ) の脆弱性により、任意のローカル管理者が、未認証の通信ポートに 8 バイトのメッセージを送信するだけで、Windows Defender (MsMpEng.exe) や lsass.exe のような PPL (Protected Process Light) で保護されたプロセスを含む 任意の プロセスを終了させることができます。

バッファオーバーフローはありません。ヒープスプレーもありません。ROP チェーンもありません。わずか 8 バイトです。

脆弱性の詳細

このドライバは、呼び出し元の認証を行わないミニフィルタ通信ポートを公開しています。これは単純な 8 バイトのメッセージを受け付けます:

struct {
    DWORD magic;  // 0x6C6C696B ("kill" in little-endian ASCII)
    DWORD pid;    // Target process ID
};

このメッセージを受信すると、ドライバはカーネルモードから PROCESS_ALL_ACCESS を指定して ZwOpenProcess を呼び出し (PPL チェックをバイパス)、その後 ZwTerminateProcess を呼び出します。呼び出し元や対象に対する検証は一切行われません。

追加の問題: ハンドルリーク

ZwOpenProcess のハンドルは 呼び出し元のハンドルテーブル に作成され (OBJ_KERNEL_HANDLE フラグが欠落)、ユーザーモードの攻撃者が lsass.exe のような PPL で保護されたプロセスへの PROCESS_ALL_ACCESS ハンドルを複製できる短いウィンドウが生じます - これにより、プロセスを終了させることなく資格情報の窃取が可能になります。

根本原因

1. 呼び出し元の認証なし - 任意の管理者プロセスがポートに接続できる
2. 対象の検証なし - システム上重要なプロセスを含め、任意の PID が受け入れられる
3. 過剰な権限 - PROCESS_TERMINATE ではなく PROCESS_ALL_ACCESS が使用されている
4. ハンドルテーブルの誤用 - OBJ_KERNEL_HANDLE フラグの欠落により、カーネルハンドルがユーザーモードに露出する

デモ

lsass.exe の Kill (PPL 保護)

ビデオデモ

完全なデモを見る - 保護されたプロセスに対する PPL バイパスを実演しています。

ファイル

ビルドと使用方法

cl.exe poc.c /Fe:poc_kill.exe
poc_kill.exe MsMpEng.exe

必要条件: ローカル管理者権限、fortimon3_74.sys がロードされていること。

開示

• 完全な技術的詳細、PoC、ビデオデモを添えて Fortinet PSIRT に報告済み
• ステータス: 重複 (別の研究者が同じ問題を報告済み)

me1n