SAFAチームのセキュリティ研究者は、Avast Antivirusソフトウェアに見つかったカーネルヒープオーバーフローの脆弱性であるCVE-2025-13032の悪用に関する技術分析を公開しました。この研究は、ユーザーモードアプリケーションに対して広範なIOCTL（入出力制御）ハンドラのインターフェースを公開している「aswSnx」カーネルドライバに焦点を当てています。研究者は、ドライバがユーザーから提供されたデータを処理する際のダブルフェッチの欠陥を特定することで、Windowsのページプール内でヒープオーバーフローを引き起こすことに成功しました。この脆弱性は、ドライバがユーザー制御下のメモリから長さフィールドを複数回フェッチする際に発生し、攻撃者が初期バッファ割り当てとそれに続くメモリコピー操作の間で値を操作することを可能にします。これを悪用するために、研究者はヒープスプレー戦略を用いて、悪意のあるバッファをI/Oリングオブジェクトの隣に確実に配置しました。このオブジェクト内の「RegBuffers」配列を破損させることで、任意のカーネル読み取り/書き込みプリミティブを獲得しました。このプリミティブは、カーネルアドレスのリークや最終的なトークン窃取に使用され、完全にアップデートされたWindows 11システム上で攻撃者の権限をSYSTEMレベルまで昇格させました。研究者は、ユーザーモードアクセサーのような現代のWindowsカーネルの緩和策は、ユーザーモードバッファが正しいメモリスペースに存在することを確認することで、このような悪用手法を防ぐように設計されていると指摘しています。
SAFAチームの研究者は、この脆弱性の詳細な技術的内訳を提供しており、エクスプロイトチェーンの視覚的表現としてまとめられています。