CVE-2025-62215 脆弱性解析

Windows Kernel Race Condition / Double-Free Privilege Escalation の脆弱性調査プロジェクト。

概要

プロジェクト構成

.
├── README.md                           # このファイル
├── CLAUDE.md                           # Claude Code 用プロジェクトコンテキスト
├── report.md                           # 包括的な脆弱性レポート
├── analysis.md                         # 公開 (偽) PoC の静的解析
├── TODO.md                             # 次のステップと調査計画
├── poc/
│   ├── exploit.h                       # 共通定義 & 未文書化型
│   ├── exploit.cpp                     # PoC スケルトン (正しい API)
│   └── Makefile                        # MSVC (nmake) ビルド設定
└── docs/
    ├── binary-acquisition.md           # ntoskrnl.exe バイナリ入手方法
    ├── patch-analysis-guide.md         # IDA Pro + BinDiff 解析ガイド
    ├── detection-rules.md              # Sigma / Sysmon / ETW 検知ルール
    └── test-environment.md             # VM + WinDbg セットアップガイド

主な発見

フェーズ 1: 脆弱性調査

• CVE-2025-62215 は 2025年11月 Patch Tuesday で修正された実際の脆弱性
• サポート対象のすべての Windows バージョン (10、11、Server 2019/2022/2025) に影響
• ゼロデイとして活発に悪用され、CISA KEV に登録済み

フェーズ 1: 公開 PoC 分析

• 公開 PoC (abrewer251/CVE-2025-62215_Windows_Kernel_PE) — 偽物/非機能
  • 架空の API (NtCreateKernelObject) を使用
  • ユーザーモードの VirtualAlloc ではカーネルプールをスプレー不可
  • 実際の権限昇格メカニズムは存在しない
  • マルウェア/バックドア要素は検出されず

フェーズ 2: PoC 開発 (現在)

• 正しい Windows カーネル API を使用した PoC スケルトンを実装
• 動作するコンポーネント: バージョンチェック、VM 検出、NtDll 解決、プールグルーミング、EPROCESS リーク
• ブロック中: 競合条件の発動にはバイナリ解析 (IDA Pro + BinDiff) が必要

次のステップ

1. パッチ適用前後の ntoskrnl.exe を入手 ( docs/binary-acquisition.md を参照)
2. BinDiff で修正された関数を特定
3. poc/exploit.cpp でフェーズ 3 (脆弱性発動) を完了
4. 隔離された VM 環境でテスト ( docs/test-environment.md を参照)

ビルド (Windows)

# VS 開発者コマンドプロンプトから
cd poc
nmake
exploit.exe --check    # システムチェックのみ

免責事項

このプロジェクトは教育および許可されたセキュリティ研究目的のみで提供されます。