CVE-2025-13032: Avast Antivirusサンドボックスへの侵入と破壊 パート2
CVE-2025-13032: Entering and Breaking the Avast Antivirus Sandbox Part 2
本記事は、Avast Antivirusのカーネルドライバに存在するCVE-2025-13032(ダブルフェッチ脆弱性)を悪用したローカル権限昇格の攻撃手法を解説するパート2である。攻撃者は、制御可能なページプールオーバーフローを利用して、IORingオブジェクトのRegBuffers配列を破損させることで、カーネルレベルでの任意の読み書き(Arbitrary Kernel Read/Write)プリミティブを獲得する。具体的には、ヒープスプレー戦略を用いてRegBuffers配列のエントリを偽の構造体に置き換え、IORingのファイル操作(IoRingReadFile/IoRingWriteFile)を悪用して任意の読み書きを実現する。さらに、MDL(Memory Descriptor List)のプロセスフィールドをリークさせることで、自身のEPROCESSアドレスを取得し、これによりカーネルアドレスの特定を可能にする。攻撃の完了には、システムクラッシュを防ぐためのメモリ破損箇所の修復(ProcessBilledフィールドの修正)と、カーネルがユーザーバッファを解放する際の参照カウント問題を解決する必要がある。最終的に、SYSTEMプロセスのトークンを窃取することで、ローカル権限昇格を達成する。この脆弱性は既に修正されている。
- Avast AntivirusのカーネルドライバにCVE-2025-13032(ダブルフェッチ脆弱性)が存在し、ローカル権限昇格が可能だった。脆弱性は既に修正済み。
- 攻撃者は制御可能なページプールオーバーフローでIORingオブジェクトのRegBuffers配列を破壊し、カーネルでの任意読み書きプリミティブを獲得。ヒープスプレーで偽構造体に置き換え、IoRingReadFile/IoRingWriteFileを悪用する。
- MDL(Memory Descriptor List)のプロセスフィールドをリークさせて自身のEPROCESSアドレスを取得し、カーネルアドレスを特定。最終的にSYSTEMプロセスのトークンを窃取してローカル権限昇格を達成する。
- 攻撃完了にはProcessBilledフィールドの修正によるメモリ破損箇所の修復と、カーネルがユーザーバッファを解放する際の参照カウント問題の解決が必要。
Avast Antivirusのカーネルドライバに存在したローカル権限昇格脆弱性(CVE-2025-13032)の攻撃手法を詳述した研究記事で、脆弱性自体は既に修正済みのため直接の投資機会は限定的。ただし、EPROCESSトークン窃取によるSYSTEM権限奪取という古典的かつ強力な攻撃チェーンが、一般消費者向けセキュリティ製品のカーネルドライバという高権限コンポーネントで成立した点は重要。Gen Digital(Avast親会社)のようなセキュリティベンダーのドライバ品質・パッチ速度は事業リスクと顧客信頼に直結するため、EDR/XDRやカーネルレベルの防御製品を手掛ける企業の競争力・脆弱性管理体制を評価する材料になる。同種のダブルフェッチ/ページプールオーバーフロー系の欠陥は他社製アンチウイルスにも波及し得るため、セキュリティセクター全体のリスク要因として注視したい。