Os pesquisadores da SAFA descobriram quatro vulnerabilidades de heap overflow do kernel no driver aswSnx.sys do Avast Antivirus, designado CVE-2025-13032, afetando versões anteriores a 25.3 no Windows.
Essas falhas se originam de problemas de busca dupla no tratamento de IOCTL, permitindo que invasores locais acionem estouros de pool para escalonamento de privilégios para SYSTEM.
As vulnerabilidades exigem manipulação de sandbox para acessar o superfície de ataquemarcando uma reversão dos cenários típicos de fuga de sandbox.
Abordagem de pesquisa
O SAFA teve como alvo o Avast devido à sua ampla implantação e rica superfície de ataque ao kernel por meio de drivers acessíveis ao usuário, como o aswSnx, que expõe vários manipuladores IOCTL sob ACLs permissivas.
A análise se concentrou nos componentes do kernel que processam dados controlados pelo usuário, priorizando aqueles com altas contagens de IOCTL para eficiência em uma auditoria por tempo limitado.
A engenharia reversa revelou código compartilhado entre os produtos Gendigital, ampliando potencialmente o impacto, embora não verificado.
A auditoria manual, combinada com heurísticas como rastreamento de chamadas ProbeForRead, identificou rapidamente falhas no IOCTL 0x82AC0204, que processa estruturas UNICODE_STRING fornecidas pelo usuário sem capturá-las adequadamente na memória do kernel.
O driver busca o campo Length duas vezes, uma vez para alocação e novamente para cópia, permitindo que os invasores o alterem no meio da operação para estouros de heap controlados.
Problemas semelhantes afetam os campos pString e pData, incluindo falta de validação de ponteiro que leva a DoS.
O driver aswSnx impõe um costume caixa de areia via snx_lconfig.xml, restringindo IOCTLs vulneráveis a processos com perfil com sinalizadores como fAutosandbox e scanhandle=1.
Os processos padrão não têm acesso, necessitando de manipulação de configuração por meio do IOCTL 0x82AC0054, que registra executáveis com permissões somente leitura.
Isso permitiu gerar um exploit.exe em sandbox para acionar travamentos e confirmar primitivos.
Falhas adicionais surgiram no mesmo manipulador: buscas duplas baseadas em loop em strings para cálculo e alocação de comprimento e uso indevido de snprintf durante o encerramento do processo, copiando strings largas para buffers fixos.
Uma variante pData repete o padrão com iterações de dimensionamento separadas antes do memcpy. Isso gera overflows e DoS controlados pelo usuário por meio de ponteiros inválidos.
O Avast resolveu os problemas na versão 25.3 capturando estruturas na memória do kernel, reutilizando comprimentos iniciais, adicionando verificações de tamanho em buffers fixos e validando ponteiros.
O CVSS v3.1 pontua 9,9 (Crítico) devido à baixa complexidade, aos baixos privilégios necessários e ao impacto total da CIA por meio da mudança de escopo.
SAFA demonstrou LPE no Windows 11 mais recente, provando sua viabilidade apesar do sandbox.
As organizações devem atualizar imediatamente, limitar os privilégios locais e auditar os registros para tentativas de escalonamento. Isso ressalta os riscos persistentes nos drivers do kernel AV, mesmo com defesas.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.