来自 SAFA 团队的安全研究人员发布了一份技术分析，详细介绍了 CVE-2025-13032 的利用过程，这是一个存在于 Avast 防病毒软件中的内核堆溢出漏洞。该研究重点关注“aswSnx”内核驱动程序，该驱动程序向用户模式应用程序公开了广泛的 IOCTL（输入/输出控制）处理程序接口。通过识别驱动程序处理用户提供数据时存在的双重获取缺陷，研究人员成功触发了 Windows 分页池中的堆溢出。当驱动程序多次从用户控制的内存中获取长度字段时，就会出现此漏洞，从而允许攻击者在初始缓冲区分配和随后的内存复制操作之间操纵该值。为了利用这一点，研究人员采用了堆喷射策略，将恶意缓冲区可靠地放置在 I/O Ring 对象旁边。通过破坏该对象内的“RegBuffers”数组，他们获得了任意内核读/写原语。该原语随后被用于泄露内核地址，并最终执行令牌窃取，将攻击者的权限提升至完全更新的 Windows 11 系统上的 SYSTEM 级别。研究人员指出，现代 Windows 内核缓解措施（例如用户模式访问器）旨在通过验证用户模式缓冲区是否驻留在正确的内存空间中来防止此类利用技术。
来自 SAFA 团队的研究人员提供了该漏洞的详细技术分解，此视觉表示总结了整个利用链。