OPSWAT AppRemover Improper Access Control Vulnerability (CVE-2026-36425)

漏洞概述 CVE ID: CVE-2026-36425 漏洞类型: 不适当的访问控制（Improper Access Control） 影响: 未授权的进程终止、拒绝服务、安全软件篡改、反取证 攻击向量: 本地 所需权限: 低（任意本地用户） 测试环境: Windows 10 / Windows 11 (x64) 研究人员: Jehad Abudagga (@j3h4ck) 影响范围 受影响组件: - 驱动: - 设备: （可由非管理员用户访问） - IOCTL 处理程序: 具体影响: - 禁用端点安全软件（EDR/AV 代理、监控服务） - 导致拒绝服务（终止关键进程） - 支持反取证工作流（通过终止日志、遥测或响应工具） 修复方案 防御者/系统所有者: - 将 （v2017.10.02.1551 及更早版本）视为易受攻击的驱动。如果不需要 AppRemover 功能，确保该驱动未加载。 - 应用或扩展易受攻击的驱动黑名单（例如，微软推荐的驱动阻止规则 / HVCI 强制的黑名单），以防止受影响的驱动版本加载。 - 监控在系统上意外加载的 ，这些系统未合法运行 OPSWAT AppRemover。 供应商: - 限制对设备对象的访问，仅允许具备适当权限的调用者发出控制请求。 - 在 IOCTL 调度路径中强制执行授权检查（调用者完整性/权限验证）。 - 拒绝针对受保护（PP/IPL）和关键系统进程的终止请求。 技术细节 驱动注册: 驱动注册了一个设备对象和分派例程，处理来自用户模式的设备 I/O 控制请求。 IOCTL 处理程序: 实现三种不同的终止策略： 1. 内存损坏: 通过 附加到目标进程上下文，并用 覆盖其内存。 2. 作业对象终止: 将目标与作业对象关联，然后终止该作业。 3. 直接进程终止: 对目标调用标准的 。 额外观察 其他 IOCTL 处理程序可能提供额外的敏感原语： - : 任意注册表写入 - : 硬件端口 I/O（读/写） - : 强制文件删除 披露时间线 2026-02-25: 向 CVE 分配团队提交 CVE 请求 2026-06-16: 分配 CVE-2026-36425 2026-06-17: 发布公开公告（本文档） 参考 CVE 记录: https://www.cve.org/CVERecord?id=CVE-2026-36425 NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-36425 致谢 发现并报告：Jehad Abudagga - X / Twitter: @j3h4ck - Medium: @jehadabudagga 代码块 页面中未包含 POC 代码或利用代码。

目標達成すべての支援者に感謝 — 100%達成しました！

OPSWAT AppRemover Improper Access Control Vulnerability (CVE-2026-36425)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

OPSWAT AppRemover Improper Access Control Vulnerability (CVE-2026-36425)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！