Investigadores de seguridad del equipo SAFA han publicado un análisis técnico que detalla la explotación de CVE-2025-13032, una vulnerabilidad de desbordamiento de búfer en el kernel encontrada en el software Avast Antivirus. La investigación se centra en el controlador del kernel 'aswSnx', que expone una amplia interfaz de controladores IOCTL (Input/Output Control) a aplicaciones en modo usuario. Al identificar un fallo de doble lectura en la forma en que el controlador procesa los datos proporcionados por el usuario, los investigadores pudieron activar un desbordamiento de búfer en el grupo paginado de Windows. Esta vulnerabilidad ocurre cuando el controlador obtiene un campo de longitud varias veces desde la memoria controlada por el usuario, lo que permite a un atacante manipular el valor entre la asignación inicial del búfer y la operación de copia de memoria posterior. Para explotar esto, los investigadores emplearon una estrategia de heap spraying para colocar de manera fiable su búfer malicioso junto a un objeto I/O Ring. Al corromper la matriz 'RegBuffers' dentro de este objeto, obtuvieron una primitiva de lectura/escritura arbitraria en el kernel. Esta primitiva se utilizó luego para filtrar direcciones del kernel y, en última instancia, realizar un robo de tokens, elevando los privilegios del atacante al nivel SYSTEM en un sistema Windows 11 totalmente actualizado. Los investigadores señalaron que las mitigaciones modernas del kernel de Windows, como los accesores en modo usuario, están diseñadas para evitar tales técnicas de explotación verificando que los búferes en modo usuario residan en el espacio de memoria correcto.
Los investigadores del equipo SAFA proporcionaron un desglose técnico detallado de la vulnerabilidad, que se resume en esta representación visual de la cadena de explotación.