PT-2025-32145
CVE-2025-7771
·
تاريخ النشر
2025-08-06
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:L/AC:H/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
ThrottleStop.sys الإصدار 3.0.0.0
الوصف
يحتوي برنامج التشغيل ThrottleStop.sys على تنفيذ غير آمن للدالة
MmMapIoSpace()، مما يعرض واجهتين IOCTL تسمحان بالوصول التعسفي للقراءة والكتابة إلى الذاكرة الفعلية. تسمح هذه الثغرة لتطبيق محلي يعمل في وضع المستخدم بتعديل نواة Windows قيد التشغيل واستدعاء وظائف النواة بشكل تعسفي باستخدام امتيازات ring-0 (أعلى مستوى امتياز في بنية Windows). ونتيجة لذلك، يمكن للمهاجمين تنفيذ تعليمات برمجية تعسفية في سياق النواة، مما يؤدي إلى تصعيد الامتيازات، وتجاوز الحماية على مستوى النواة، وتعطيل برامج الأمان.وقد لوحظ استغلال هذه الثغرة في الواقع في هجمات BYOVD (Bring Your Own Vulnerable Driver). تستغل البرامج الضارة مثل AV Killer وبرنامج الفدية Gentlemen هذه الثغرة لإنهاء عمليات برامج مكافحة الفيروسات وبرامج الكشف والاستجابة للأمن (EDR) (بما في ذلك Microsoft Defender وAvast وCrowdStrike وBitDefender) لتسهيل نشر برامج الفدية مثل MedusaLocker. وقد تم تحديد هذه الهجمات وهي تستهدف مؤسسات في روسيا وبيلاروسيا وأوكرانيا وكازاخستان والبرازيل.
تشمل التفاصيل الفنية استخدام IOCTL
0x8000649C للكتابة فوق تعليمات النواة، مثل الدالة NtAddAtom()، باستخدام شفرة شل. قد تستخدم البرامج الضارة أيضًا الدالة NtQuerySystemInformation() لتحديد العمليات الأمنية النشطة.التوصيات
تحديث ملف ThrottleStop.sys الإصدار 3.0.0.0 وفقًا لتعليمات المورد.
تعطيل الوصول العام عبر بروتوكول RDP.
I
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾