ช่องโหว่ ASUS Armory Crate สามารถทำให้ผู้โจมตีได้รับสิทธิ์ Admin บน Windows ได้

ช่องโหว่ระดับความรุนแรงสูงในซอฟต์แวร์ ASUS Armoury Crate อาจทำให้ผู้โจมตีสามารถยกระดับสิทธิ์การเข้าถึงขึ้นเป็นระดับ SYSTEM บน Windows ได้

ช่องโหว่นี้มีหมายเลข CVE-2025-3464 และได้รับคะแนน severity score 8.8 จาก 10

ช่องโหว่นี้สามารถถูกนำไปใช้เพื่อ bypass การ authorization และมีผลกระทบต่อ AsIO3.sys ซึ่งเป็นส่วนหนึ่งของระบบจัดการ Armoury Crate

Armoury Crate เป็นซอฟต์แวร์ควบคุมระบบอย่างเป็นทางการสำหรับ Windows จาก ASUS เพื่อให้ผู้ใช้สามารถจัดการการตั้งค่าต่าง ๆ ได้จากศูนย์กลางในโปรแกรมเดียว ไม่ว่าจะเป็นควบคุม RGB lighting (Aura Sync), ปรับแต่ง Fan Curve, จัดการโปรไฟล์ประสิทธิภาพของระบบ และอุปกรณ์ต่อพ่วงของ ASUS รวมถึงดาวน์โหลดไดรเวอร์ และเฟิร์มแวร์อัปเดต

เพื่อดำเนินการฟังก์ชันเหล่านี้ทั้งหมด และจัดเตรียมการตรวจสอบระดับ Low-level ซอฟต์แวร์ชุดนี้จะใช้ kernel driver เพื่อเข้าถึง และควบคุมฮาร์ดแวร์โดยตรง

Marcin "Icewall" Noga นักวิจัยจาก Cisco Talos เป็นผู้รายงานช่องโหว่ CVE-2025-3464 ดังกล่าว

ตามคำแนะนำของ Talos ช่องโหว่นี้อยู่ที่ไดรเวอร์ ซึ่งตรวจสอบ callers ตามค่าแฮช SHA-256 ที่เข้ารหัสแบบฮาร์ดโค้ดของ AsusCertService.exe และ PID allowlist แทนที่จะใช้การควบคุมการเข้าถึงระดับระบบปฏิบัติการที่เหมาะสม

วิธีการโจมตีช่องโหว่นี้ เริ่มจากการสร้าง hard link จากแอปทดสอบที่ไม่เป็นอันตรายไปยังไฟล์ executable ปลอม จากนั้นผู้โจมตีจะรันแอปดังกล่าวแล้วหยุดการทำงานชั่วคราว ก่อนที่จะสลับ hard link ให้ชี้ไปยัง AsusCertService.exe

เมื่อไดรเวอร์ตรวจสอบแฮช SHA-256 ของไฟล์ ไดรเวอร์จะอ่านไฟล์ที่ถูกลิงก์ไว้ซึ่งเป็น binary ที่น่าเชื่อถือ ทำให้แอปทดสอบสามารถ bypass ขั้นตอนการ authorization และเข้าถึงไดรเวอร์ได้สำเร็จ

การเข้าถึงนี้ทำให้ผู้โจมตีได้รับสิทธิ์ low-level ของระบบ โดยสามารถเข้าถึง physical memory, I/O ports และ model-specific registers (MSRs) ได้โดยตรง ส่งผลให้สามารถควบคุมระบบปฏิบัติการได้อย่างสมบูรณ์

แต่การโจมตีนี้ ผู้โจมตีจะต้องสามารถเข้าถึงระบบเป้าหมายได้ก่อนอยู่แล้ว (ติดมัลแวร์, การฟิชชิง, compromised บัญชีที่ไม่ได้มีสิทธิ์สูง) จึงจะสามารถใช้ประโยชน์จากช่องโหว่ CVE-2025-3464 ได้

อย่างไรก็ตาม การที่ซอฟต์แวร์นี้ถูกใช้งานอย่างแพร่หลายบนคอมพิวเตอร์ทั่วโลก จึงอาจทำให้ช่องโหว่นี้กลายเป็นจุดที่ผู้โจมตีให้ความสนใจ และนำไปใช้โจมตีในวงกว้างได้

Cisco Talos ยืนยันว่าช่องโหว่ CVE-2025-3464 ส่งผลกระทบต่อ Armoury Crate เวอร์ชัน 5.9.13.0 ขณะที่ประกาศจาก ASUS ระบุว่าช่องโหว่นี้มีผลกระทบกับทุกเวอร์ชันตั้งแต่ 5.9.9.0 ถึง 6.1.18.0

เพื่อแก้ไขช่องโหว่ด้านความปลอดภัย ขอแนะนำให้ติดตั้งการอัปเดตล่าสุดโดยเปิดแอป Armoury Crate และไปที่ “Settings” > “Update Center” > “Check for Updates” > “Update”

Cisco ได้รายงานช่องโหว่นี้ต่อ ASUS ตั้งแต่เดือนกุมภาพันธ์ที่ผ่านมา โดยขณะนี้ยังไม่พบรายงานว่ามีการโจมตีโดยใช้ช่องโหว่นี้ อย่างไรก็ตาม ASUS ขอแนะนำว่าผู้ใช้ควรอัปเดต Armoury Crate ให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด

ช่องโหว่ Driver Kernal ของ Windows ที่นำไปสู่การยกระดับสิทธิ์ภายในเครื่องมักเป็นที่นิยมในหมู่แฮ็กเกอร์ โดยเฉพาะกลุ่มที่เกี่ยวข้องกับแรนซัมแวร์, การปฏิบัติการมัลแวร์ และภัยคุกคามต่อหน่วยงานภาครัฐ

ที่มา : bleepingcomputer