Emil Sørbrøden

**Nome do Software Vulnerável e Versões Afetadas** PassMark PerformanceTest versões anteriores a 11.1 build 1012 BurnInTest versões anteriores a 11.1 build 1000 OSForensics versões anteriores a 11.1 build 1016 **Description** Um problema de controle de acesso inadequado existe no driver de kernel `DirectIo64.sys`. O driver cria um objeto de dispositivo sem um descritor de segurança, permitindo que usuários locais não privilegiados abram um handle para ele. Isso permite que atacantes emitam IOCTLs (códigos de Controle de Entrada/Saída usados por aplicativos para se comunicar com drivers de dispositivo) através da ACL (Lista de Controle de Acesso) padrão permissiva do Windows para realizar operações de hardware privilegiadas, independentemente de seu nível de privilégio ou integridade. **Recommendations** Atualize o PassMark PerformanceTest para a versão 11.1 build 1012 ou posterior. Atualize o BurnInTest para a versão 11.1 build 1000 ou posterior. Atualize o OSForensics para a versão 11.1 build 1016 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PassMark PerformanceTest versões anteriores a 11.1 build 1012 BurnInTest versões anteriores a 11.1 build 1000 OSForensics versões anteriores a 11.1 build 1016 **Description** Um problema de escalonamento de privilégios existe no driver DirectIo64.sys. A falha decorre da falta de validação do parâmetro de endereço físico em um manipulador IOCTL exposto. Um invasor local pode obter um handle de dispositivo e fornecer um endereço físico de 64 bits arbitrário junto com um índice de bit para acionar a função `MmMapIoSpace`. Isso permite que o invasor limpe bits arbitrários em qualquer endereço de memória física, incluindo páginas de código do kernel ou entradas de tabela de páginas, o que pode levar ao escalonamento de privilégios locais ou ao comprometimento total do sistema. **Recommendations** Atualize o PassMark PerformanceTest para a versão 11.1 build 1012 ou posterior. Atualize o BurnInTest para a versão 11.1 build 1000 ou posterior. Atualize o OSForensics para a versão 11.1 build 1016 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PassMark PerformanceTest versões anteriores a 11.1 build 1012 BurnInTest versões anteriores a 11.1 build 1000 OSForensics versões anteriores a 11.1 build 1016 **Descrição** O driver `DirectIo64.sys` contém credenciais codificadas. Atacantes locais podem extrair uma chave de 8 bytes incorporada como um literal no binário para computar tags de autenticação MD5 válidas para solicitações de gravação IOCTL arbitrárias, permitindo gravações arbitrárias na memória física. Além disso, atacantes podem ignorar portões de validação secundários usando o IOCTL de limpeza de bits do driver para modificar um bit no byte de deslocamento da instrução de controle. Esta ação faz com que as solicitações de gravação subsequentes ignorem a verificação de MAC, verificações de tamanho e verificações de ID do fornecedor. **Recomendações** Atualize o PassMark PerformanceTest para a versão 11.1 build 1012 ou posterior. Atualize o BurnInTest para a versão 11.1 build 1000 ou posterior. Atualize o OSForensics para a versão 11.1 build 1016 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PassMark PerformanceTest versões anteriores a 11.1 build 1012 BurnInTest versões anteriores a 11.1 build 1000 OSForensics versões anteriores a 11.1 build 1016 **Descrição** Um problema de escalonamento de privilégios e negação de serviço existe no driver `DirectIo64.sys`. Atacantes locais podem explorar IOCTLs (códigos de Controle de Entrada/Saída) expostos, devido à aplicação insuficiente de listas de bloqueio, para ler Registradores Específicos do Modelo (MSRs) arbitrários ou gravar zero em qualquer MSR. Registradores Específicos do Modelo são registradores do sistema usados para alternar e monitorar recursos específicos do processador. Ao usar o IOCTL de gravação irrestrita, um atacante pode zerar o MSR do manipulador de chamadas do sistema, resultando em um travamento imediato e irrecuperável do kernel na próxima chamada de sistema, ou ler MSRs sensíveis para localizar estruturas de dados do kernel. **Recomendações** Atualize o PassMark PerformanceTest para a versão 11.1 build 1012 ou posterior. Atualize o BurnInTest para a versão 11.1 build 1000 ou posterior. Atualize o OSForensics para a versão 11.1 build 1016 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PassMark PerformanceTest versões anteriores a 11.1 build 1012 BurnInTest versões anteriores a 11.1 build 1000 OSForensics versões anteriores a 11.1 build 1016 **Description** Um problema de escalonamento de privilégios existe no driver `DirectIo64.sys`. Usuários locais podem modificar a configuração do hardware explorando IOCTLs (códigos de Controle de Entrada/Saída usados por aplicativos para se comunicar com drivers de dispositivo) expostos que não possuem validação de seleção de dispositivo, deslocamento de registro ou valor. Ao obter um handle de dispositivo, um invasor pode realizar operações arbitrárias de leitura/escrita no espaço de configuração PCI. Isso permite habilitar o Bus Master DMA (Acesso Direto à Memória, que permite que dispositivos de hardware acessem a memória do sistema independentemente da CPU) em qualquer dispositivo PCI, interromper a E/S do controlador de armazenamento limpando os registros de comando ou remapear Registros de Endereço Base para redirecionar o DMA para um endereço físico escolhido pelo invasor. **Recommendations** Atualize o PassMark PerformanceTest para a versão 11.1 build 1012 ou posterior. Atualize o BurnInTest para a versão 11.1 build 1000 ou posterior. Atualize o OSForensics para a versão 11.1 build 1016 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PassMark PerformanceTest versões anteriores a 11.1 build 1012 BurnInTest versões anteriores a 11.1 build 1000 OSForensics versões anteriores a 11.1 build 1016 **Descrição** Um problema de escalonamento de privilégios existe no driver `DirectIo64.sys`. Usuários locais podem emitir instruções IN e OUT arbitrárias para qualquer porta de E/S x86 porque os IOCTLs (códigos de Controle de Entrada/Saída usados por aplicativos para se comunicar com drivers de dispositivo) expostos carecem de uma lista de permissões ou validação de porta. Ao obter um handle de dispositivo, um invasor pode escrever em portas sensíveis, como a porta do controlador PS/2, portas de reset da CPU, portas de configuração CMOS e portas do controlador de interrupção, permitindo a manipulação de nível de hardware ou um reset imediato do sistema a partir de uma conta de usuário padrão. **Recomendações** Atualize o PassMark PerformanceTest para a versão 11.1 build 1012 ou posterior. Atualize o BurnInTest para a versão 11.1 build 1000 ou posterior. Atualize o OSForensics para a versão 11.1 build 1016 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PassMark PerformanceTest versões anteriores a 11.1 build 1012 BurnInTest versões anteriores a 11.1 build 1000 OSForensics versões anteriores a 11.1 build 1016 **Description** Uma divulgação de memória física não autenticada existe no driver `DirectIo64.sys`. Usuários locais não privilegiados podem acionar isso por meio de uma única solicitação IOCTL (Input/Output Control) que carece de verificações de identidade do chamador. O manipulador grava uma imagem no formato de dump de falha (PAGEDU64) de toda a memória física em um caminho de arquivo fornecido pelo chamador usando o contexto SYSTEM. Isso permite que um usuário padrão crie arquivos em locais restritos e recupere a memória de processos de outros usuários. Além disso, a imagem inclui um cabeçalho que expõe a lista de módulos carregados do kernel, a lista de processos ativos e os ponteiros do banco de dados PFN (Page Frame Number), o que anula o KASLR (Kernel Address Space Layout Randomization), um recurso de segurança que randomiza os endereços de memória usados pelo kernel. O mesmo manipulador também falha ao realizar uma verificação de NULL no valor de retorno de um localizador de estrutura de kernel interno, o que pode levar a um travamento do kernel se o localizador retornar NULL em caminhos de falha específicos. **Recommendations** Atualize o PassMark PerformanceTest para a versão 11.1 build 1012 ou posterior. Atualize o BurnInTest para a versão 11.1 build 1000 ou posterior. Atualize o OSForensics para a versão 11.1 build 1016 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PassMark PerformanceTest versões anteriores a 11.1 build 1012 BurnInTest versões anteriores a 11.1 build 1000 OSForensics versões anteriores a 11.1 build 1016 **Descrição** Um problema de divulgação de informações existe no driver DirectIo64.sys. Atacantes locais não autenticados podem descarregar o conteúdo completo da memória física ao fornecer um caminho de arquivo controlado pelo chamador para um IOCTL (Input/Output Control) exposto. O ataque envolve uma única chamada de IOCTL que aciona o driver para iterar por todos os intervalos de memória física usando a função `MmGetPhysicalMemoryRanges` e mapear cada página via `ZwMapViewOfSection` no objeto de seção PhysicalMemory. Esse processo grava uma imagem completa da RAM em um caminho especificado dentro do contexto SYSTEM, ignorando as Listas de Controle de Acesso (ACLs) do modo do usuário e expondo o conjunto de trabalho do LSASS, a memória do processo e materiais criptográficos de todos os processos ativos. **Recomendações** Atualize o PassMark PerformanceTest para a versão 11.1 build 1012 ou posterior. Atualize o BurnInTest para a versão 11.1 build 1000 ou posterior. Atualize o OSForensics para a versão 11.1 build 1016 ou posterior.