CVE-2026-68820：Windows WinSock（afd.sys）UAF 缓解措施

本仓库包含一个概念性补丁，用于演示针对 CVE-2026-68820 的缓解措施。该漏洞是 Windows WinSock 辅助功能驱动程序（afd.sys）中的一个严重释放后使用（UAF）漏洞。

实际利用此漏洞可使本地认证攻击者触发竞争条件、劫持执行流，并将权限提升至 SYSTEM。

根本原因

该漏洞源于套接字对象在拆除阶段的生存期管理不当。在易受攻击的状态下，afd.sys 释放了上下文缓冲区，但未能立即将指针置空。如果并发线程在此窗口期间尝试访问套接字状态，就会访问已释放的内存（UAF）。

补丁架构

该补丁引入了一种确定性的生存期管理模型：

1. 线程同步： 实现 KeAcquireSpinLock，以确保套接字销毁期间的互斥。
2. 先置空再释放： 捕获悬空指针，显式将结构体成员置空（Socket->ContextBuffer = NULL），然后释放内存。
3. 安全引用计数： 利用 InterlockedDecrement，确保仅在所有引用被释放后才销毁父对象。

免责声明

Windows 是一个闭源操作系统。此代码以教学方式呈现了修复内核池中竞争条件所需的确切逻辑结构和 Windows 驱动程序模型（WDM）API 调用。

许可证

MIT 许可证