CVE-2022-42045

概要

Zemana Antimalware SDKの一部であるZemana amsdk.sysカーネルモードドライバーにおいて、任意コードインジェクションの脆弱性を発見しました。この脆弱性により、ドライバーのコードセクションの1つに任意のコードを注入し、カーネルモード権限で実行することが可能です（管理者からカーネルモードへのローカル権限昇格）。この脆弱性は、例えばドライバー署名強制を無効にし、署名されていないカーネルモードドライバーをインストールするために使用される可能性があります。

詳細

脆弱性のある関数は、amsdk.sysの.textセクションの先頭からオフセット0xBF60に配置されています。この関数は、オフセット0xD664にある別の関数を呼び出します。オフセット0xD664の関数は4つの引数を取ります：

1. ターゲットアドレス：.hookセクション内のRWXアクセス権を持つ関数のアドレス。この場合、この引数は.hookセクションの先頭からオフセット0x1D0にある関数を指します。
2. ソースアドレス：ユーザー制御のコードを含むソースバッファのアドレス
3. 整数値。この場合は128
4. ntoskrnl.exe内の関数のアドレス。この関数は引数2のコード呼び出し直後に呼び出されます。ただし、その前に、この引数の値は引数2のコードの長さから1を引いた値だけ増加します。この長さはドライバーに組み込まれた軽量逆アセンブラによって計算されます。したがって、引数2のコード呼び出し後、制御はarg_4 + arg_2_length – 1に移ります。

IOCTL 0x80002044は、オフセット0xBF60（.textセクション）の関数を呼び出し、.hookセクションのスタブをユーザーが制御する任意のコードで埋めることを可能にします。IOCTL 0x80002014（SCSI経由の読み取り）またはIOCTL 0x80002018（SCSI経由の書き込み）は、この埋められたスタブに制御を移します。

影響を受ける製品

少なくともWatchdog Anti-Malware 4.1.422、Zemana AntiMalware 3.2.28。これらの製品は同じ脆弱性のあるドライバーを使用していますが、異なる証明書で署名されています。

Zemana AntiLogger v2.74.2.664も同じ脆弱性があります。脆弱性のあるドライバー：zamguard64.sys、zam64.sys。

影響を受けるオペレーティングシステム

64ビット版のWindows：Windows 7からWindows 11

緩和策

ZemanaまたはWatchdog Antimalware製品をアンインストールしてください。ドライバーの署名をブラックリストに追加してください。