Это переработка и краткое изложение публичного технического анализа VoidSec уязвимости CVE-2026-40369 с добавлением блок-схемы и заметок по защите для моего собственного понимания. Все основные технические детали взяты из его исследования. Я не проводил независимого реверс-инжиниринга этой ошибки.

CVE-2026-40369: Защитный анализ 12-байтового примитива инкремента ядра Windows

Защитный технический анализ CVE-2026-40369 — уязвимости повышения привилегий в ядре Windows, которая предоставляет ограниченный 12-байтовый аддитивный примитив записи через NtQuerySystemInformation (класс 0xFD / 253).

Этот отчет фокусируется на ограничениях эксплуатации, анализе первопричин и последствиях для защиты, а не на создании оружия.

Обзор

CVE-2026-40369 позволяет атакующему выполнять аддитивные записи в три смежных DWORD в памяти ядра при вызове NtQuerySystemInformation с классом информации 253 и нулевым буфером. Хотя примитив ограничен, его можно использовать для обхода KASLR и повышения привилегий при тщательном нацеливании.

Этот анализ охватывает:

• Реконструкцию первопричины обхода проверки пробы и невозвращаемой проверки длины
• Детальный разбор 12-байтового аддитивного примитива записи и его ограничений
• Математический анализ техники обхода KASLR с помощью Feature_RestrictKernelAddressLeaks
• Обзор публично документированных путей эксплуатации (состояние функции WIL + альтернативные подходы к примитиву чтения)
• Каталог смещений для конкретных сборок из публичного proof-of-concept кода
• Рекомендации по обнаружению и усилению защиты

Ключевые моменты

• Точный арифметический анализ манипуляции байтом состояния функции WIL (0x57 → 0x10)
• Четкое различие между условием маски и целевым байтом при отключении защиты от утечки указателей ядра
• Ответственная каталогизация смещений из публичного репозитория эксплойтов
• Сильный акцент на ограничениях эксплуатации, а не на шагах эксплуатации
• Рекомендации по защите для обнаружения и смягчения