Avast-Sandbox geknackt: Doppel-Fetch-Lücke im Kernel-Treiber führt zu Privilegieneskalation
CVE-2025-13032: Entering and Breaking the Avast Antivirus Sandbox Part 2
Safateam zeigt in Teil 2 seiner Analyse, wie sich CVE-2025-13032 in Avasts Kernel-Treiber ausnutzen lässt. Eine Doppel-Fetch-Schwachstelle im Umgang mit einer _UNICODE_STRING-Struktur ermöglicht einen Pool-Overflow im Paged Pool. Durch gezieltes Heap-Spraying mit I/O-Ring-Objekten und einer gefälschten Buffer-Entry-Struktur im Userland erlangen die Forscher einen beliebigen Kernel-Lese-/Schreibzugriff und damit lokale Privilegieneskalation auf einem aktuellen Windows 11.
Die Race-Lücke ist schmal, aber mit einer überschaubaren Anzahl von Iterationen lässt sie sich zuverlässig gewinnen.