CVE-2021-31728

总结

MalwareFox AntiMalware 2.74.0.150 中的 zam64.sys、zam32.sys 存在不正确的访问控制，允许非特权进程打开 \.\ZemanaAntiMalware 的句柄，通过发送 IOCTL 0x80002010 向驱动程序注册自身，利用 IOCTL 0x80002040 中的缺陷分配可执行内存，使用 IOCTL 0x80002044 安装钩子，并通过该钩子使用 IOCTL 0x80002014 或 0x80002018 执行可执行内存，这暴露了驱动程序上下文中的 ring 0 代码执行，从而使非特权进程能够提升权限。

• CVE-2021-31728PoC

  CVE-2021-31727 和 CVE-2021-31728 的公开概念验证，展示了在 zam64.sys 和 zam32.sys 驱动程序中不受限制的磁盘读写和任意 ring 0 代码执行。