gvcidrv64

ハッカー諸君。

GVCIDrv64.sys は Gigabyte の BIOS ユーティリティに同梱されている署名済みカーネルドライバーだ。これはセキュリティ記述子なしで \\.\GVCIDrv64 を作成するため、管理者権限も UAC もなしに、任意のローカルユーザーがこれを開くことができる。アクセス制御が一切ない 3 つの IOCTL を公開している。32 MB の物理メモリのマップ (0x9C406580)、アンマップ (0x9C406584)、そして 1/2/4 バイトの生の I/O ポート読み書き (0x9C406588) だ。

巧妙なのは、このうち 2 つを組み合わせる方法だ。map IOCTL は PCI デバイスの BAR0 を読み取ってマップするが、port IOCTL を使えば先にその BAR0 を書き換えられる。BAR を任意の物理アドレスに向け、map を呼び出せば、選んだ RAM の 32 MB が自分のプロセスに現れる。これは、それぞれ単独では無害なはずだった 2 つの機能から作り出された任意の物理読み書きだ。

では何が得られるのか？ 一般ユーザーアカウントから、任意の物理メモリ読み書きと任意の I/O ポートアクセスが可能になり、メモリ破壊もなく、戦うべき緩和策もない。エクスプロイトは物理メモリをスキャンして System プロセス (pid 4) を見つけ、そのトークンを読み取り、自身のプロセストークンを上書きしてシステムシェルを起動する。データのみで、カーネルモードのシェルコードは使わない。

実用上の制限が 2 つある。BAR0 は 32 ビットなので、ウィンドウは 4 GB 未満に留まる。RAM が 2 GB 以下の VM を使うこと。そしてエクスプロイトは NIC の BAR0 を一時的に書き換えるため、先にネットワークアダプターを無効化しないと、入れ替え中の割り込みで BSOD になる。

Windows 10 x64 22H2 の VMware Workstation (2 GB RAM) でテスト済み。このドライバーは Gigabyte のユーティリティがインストールされたマシンにはすでにロードされている。エクスプロイトはテストマシン上で SCM 経由でロードすることもできる。

gcc -O2 -o exploit.exe exploit.c -ladvapi32
exploit.exe

2026 年 6 月に Gigabyte へ報告済み。Gigabyte はドライバーを完全に削除し、GBT_VGA_26.08.24.01 で GvVbiosDrv64.sys に置き換えた。古い脆弱なドライバーはもはや存在しない。アドバイザリ: Security Advisory 2454。

arb_rw.c はスタンドアロンの物理メモリ読み書き/ダンプツールだ。

SHA256  a2353030d4ea3ad9e874a0f7ff35bbfa10562c98c949d88cabab27102bbb8e48  GVCIDrv64.sys