CVE-2026-19195 - 概念実証

Jingyun Antivirus カーネルドライバー (ZyArk.sys) における未認証 IOCTL リクエストによる任意のレジストリキー変更

影響を受ける製品

製品: Jingyun Antivirus

バージョン: 2.4.2.39

コンポーネント: ZyArk.sys

SHA-256 ハッシュ: E89927434EA9297D2845F107441F5E3D5337457E7B844FF4AF3755369E9E7C4E

深刻度

高 - 7.8 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)

脆弱性の説明

Jingyun Antivirus カーネルドライバー ZyArk.sys は、不十分なアクセス制御の IOCTL を通じて任意のレジストリキー操作を公開しています。このドライバーは、すべてのユーザーにフルアクセスを許可するセキュリティ記述子を使用してデバイスオブジェクトを作成します。IOCTL ハンドラー 0x226AF0 は FUN_0001b32c にディスパッチし、呼び出し元の認証なしに SYSTEM としてカーネルモードのレジストリ操作 (ZwCreateKey、ZwOpenKey、ZwSetValueKey、ZwDeleteKey など) を実行します。これにより、低権限の標準ユーザーがシステム上の任意のレジストリキーを読み取り、書き込み、削除できるようになります。この例では、レジストリ操作によって Windows Defender を完全に無効化できます。

概念実証/再現手順

ZyArk.sys カーネルサービスを使用して、低権限の標準ユーザープロンプトでエクスプロイトを実行します:

Jingyun Antivirus を実行しているか、または
sc.exe を使用してカーネルサービスを手動で作成します (sc.exe create ZyArk type= kernel binPath= ; sc.exe start ZyArk)

緩和策と推奨事項

デバイスの SDDL を修正する: SYSTEM と組み込みの管理者にのみアクセスを許可します。
IOCTL を処理する前に呼び出し元プロセスを検証する: 呼び出し元の PID を許可リストと照合し、呼び出し元のデジタル署名を検証します。

CVE-2026-19195-PoC

人気