Dan Kelly

The issue concerns a driver that provides raw read and write access to port I/O and MSRs via unprivileged IOCTL calls, allowing local users to gain privileges. This has been exploited in real-world incidents, including attacks by the Lazarus group, which targeted security researchers and media companies in the US and Europe. The attackers used phishing schemes, including sending malicious documents, to deploy backdoors and gain control over targeted systems. The estimated number of potentially affected devices is not specified.

A vulnerabilidade permite que um administrador remoto autenticado execute comandos arbitrários do sistema operacional como SYSTEM por meio do recurso de script personalizado de políticas. Isso pode ser explorado devido ao uso de uma senha de administrador padrão, facilitando que invasores abusem dessa funcionalidade. Além disso, um invasor remoto e parcialmente autenticado pode ser capaz de injetar comandos arbitrários no script personalizado devido a um campo de senha não sanitizado, especificamente o campo `password`. Essa vulnerabilidade pode ser explorada quando um determinado recurso de sincronização de senhas está habilitado, o qual usa senhas como argumentos de script, permitindo a execução remota de código por meio da entrada do executável CMD.EXE.