PT-2025-15596

CVE-2025-29824

تاريخ النشر

2025-04-08

تاريخ التحديث

2026-11-12

الوصف من

CVSS 3.1

7.8

عالية

المقاييسAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

اسم البرنامج المتأثر والإصدارات المتأثرة Microsoft Windows Common Log File System (CLFS) Driver (إصدارات متأثرة غير محددة)

الوصف توجد مشكلة في برنامج تشغيل نظام ملفات السجل المشترك في ويندوز (CLFS) حيث يتم استخدام الذاكرة بعد تحريرها. تسمح هذه الثغرة لمهاجم محلي مصرح له برفع صلاحياته إلى مستوى SYSTEM. تنتج هذه المشكلة عن حالة سباق (race condition) بين معالجي IRP MJ CLEANUP و IRP MJ CLOSE فيما يتعلق بمؤشر FsContext2.

تم رصد استغلال لهذه الثغرة في هجمات واقعية من قبل مشغلي برامج الفدية، بما في ذلك مجموعة RansomEXX وجهات مرتبطة بمجموعة Storm-2460. في هذه الهجمات، تم نشر باب خلفي نمطي مقيم في الذاكرة يسمى PipeMagic. تضمنت سلسلة التنفيذ استخدام certutil لتحميل الحمولة و MSBuild لفك تشفيرها وتشغيلها مباشرة في الذاكرة. استخدم المهاجمون دالة NtQuerySystemInformation للحصول على عناوين النواة (kernel) ودالة RtlSetAllBits داخل النواة لتفعيل كافة صلاحيات العملية عن طريق إتلاف بنية EPROCESS. وللتفاعل مع برنامج التشغيل المصاب clfs.sys قام المهاجمون بإنشاء ملف محدد في المسار C:ProgramDataSkyPdfPDUDrv.blf. وبعد رفع الصلاحيات، تم حقن الحمولة في عمليات winlogon.exe و procdump.exe و dllhost.exe لسرقة بيانات الاعتماد من ذاكرة عملية LSASS وتشفير الملفات.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.

قابلية الاستغلال

استغلال

التأثيرات

الباحثون

Oruga

المورّدون

المنتجات المتأثرة

تصنيف نقاط الضعف

CWE-416: Use After Free

المعرّفات ذات الصلة

CVE-2025-29824