CVE-2021-31727

总结

# MalwareFox AntiMalware 2.74.0.150 中 zam64.sys、zam32.sys 的访问控制不当漏洞 MalwareFox AntiMalware 2.74.0.150 中的 zam64.sys、zam32.sys 存在访问控制不当漏洞，其中 IOCTL 0x80002014、0x80002018 分别暴露了不受限制的磁盘读写能力。非特权进程可以打开 \.\ZemanaAntiMalware 的句柄，使用 IOCTL 0x80002010 向驱动程序注册，并发送这些 IOCTL，通过覆盖引导扇区或覆盖页面文件中的关键代码来提升权限。

• CVE-2021-31728PoC

  CVE-2021-31727 和 CVE-2021-31728 的公开概念验证，展示了在 zam64.sys 和 zam32.sys 驱动程序中不受限制的磁盘读写和任意 ring 0 代码执行。