Little Orbit GFAC驱动多处LPE与BSOD漏洞披露（CVE-2026-12166/7/8）

漏洞概述 漏洞名称：Little Orbit GFAC Driver (GFAC_Sys_x64.sys) 中的多个本地权限提升漏洞 CVE ID：CVE-2026-12166, CVE-2026-12167, CVE-2026-12168 厂商：Little Orbit 产品：GamersFirst Anti-Cheat (GFAC) Driver (GFAC_Sys_x64.sys) 受影响版本：未嵌入版本信息，样本分析SHA-256: 98748d70a5795a9e7d5f21f32069205b4eeb7b2135a9e4ad5f7326e71e139d982 漏洞类型： - NULL指针解引用（CVE-284） - 任意内核内存写入（CVE-787） - 不当访问控制（CVE-284） 影响：拒绝服务（BSOD），权限提升到SYSTEM 攻击向量：本地 所需权限：低（任何本地用户） 测试环境：Windows 10/11 x64 研究人员：Lucian Alexandru Necula 影响范围 受影响组件： - 驱动程序：GFAC_Sys_x64.sys - 接口：Minifilter通信端口暴露给用户模式 - 可达性：标准（非管理员）本地用户 修复方案 对于防御者/系统所有者： 将GFAC_Sys_x64.sys视为易受攻击，直到供应商修复。 如果不需GFAC/反作弊功能，确保驱动程序未安装或阻止加载。 限制对受信任用户的本地访问，其中GFAC依赖的游戏必须安装。 监控对GFAC minifilter通信端口的意外连接。 对于供应商： 对minifilter通信端口应用限制性安全描述符，限制对受信任、适当特权调用者的访问。 在执行写入操作前验证所有用户提供的指针/地址。 添加NULL/边界检查到初始化和请求处理代码路径。 技术细节 CVE-2026-12166 — NULL指针解引用 驱动程序的初始化和请求处理逻辑包含一个代码路径，可以被本地、非特权调用者利用，导致NULL指针解引用，从而崩溃系统（BSOD）并允许攻击者反复中断可用性。 CVE-2026-12167 — 通信端口上的不当访问控制 Minifilter通信端口未强制执行足够严格的安全描述符。因此，低权限、非管理员用户可以打开到端口的连接并访问仅限受信任进程的功能。这显著扩大了驱动程序的攻击面，并直接导致其他漏洞的利用。 CVE-2026-12168 — 任意内核内存写入 通过通信端口接收的消息在处理前未充分验证用户提供的内存地址。本地攻击者可以提交包含攻击者控制的目的地地址和数据值的请求，导致驱动程序将任意数据写入内核内存。这种“写-什么-哪里”的原语可用于覆盖敏感OS结构（如进程安全令牌），从而导致权限提升到SYSTEM。 披露时间线 2026-04-01：供应商（Little Orbit）直接联系报告漏洞 2026-04-20：案件提交给CERT/CC进行协调披露 —：在整个协调过程中未收到供应商的响应 —：CVE-2026-12166 / 12167 / 12168 — 当前RESERVED，等待公共分配于CVE.org/NVD 2026-07-02：发布公开公告（本文档） 参考 NVD: CVE-2026-12166 NVD: CVE-2026-12167 NVD: CVE-2026-12168 致谢 发现并报告：Lucian Alexandru Necula --- 注意：页面中未包含POC代码或利用代码。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Little Orbit GFAC驱动多处LPE与BSOD漏洞披露（CVE-2026-12166/7/8）

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Little Orbit GFAC驱动多处LPE与BSOD漏洞披露（CVE-2026-12166/7/8）

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！