یک آسیب‌پذیری بحرانی در محصولات امنیتی Endpoint شرکت WatchGuard شناسایی شده است که به یک مهاجم محلی (Local) و احراز هویت شده اجازه می‌دهد تا با دور زدن مکانیزم‌های احراز هویت درایور، به حافظه‌های حساس Kernel و Process دسترسی پیدا کند.
جزئیات فنی و تحلیل آسیب‌پذیری
این نقص امنیتی با شناسه CVE-2026-13043 ردیابی می‌شود و امتیاز CVSS 9.3 را دریافت کرده است. این مشکل مربوط به درایور pskmad.sys (Panda Kernel Memory Access Driver) است که در محصولات Panda Security و WatchGuard مورد استفاده قرار می‌گیرد.
ریشه این آسیب‌پذیری در نبود احراز هویت در رابط درایور (Driver Interface) نهفته است؛ جایی که درخواست‌های تحت کنترل کاربر به عملیات‌های دارای سطح دسترسی Kernel تبدیل می‌شوند. درایور مذکور دستگاه PSMEMDriver را اکسپوز می‌کند که به اپلیکیشن‌های User-mode اجازه می‌دهد از طریق دستورات IOCTL درخواست دسترسی به حافظه ارسال کنند. با وجود وجود یک مکانیزم دست‌دهی (Handshake) به نام PsOpenPacket000، مهاجم می‌تواند این گیت کنترل دسترسی را دور بزند.
قابلیت‌های اکسپلویت و اثرات امنیتی
بر اساس اثبات مفهوم (PoC) منتشر شده، چهار عملیات اصلی در این اکسپلویت اجرا می‌شود:
- انتقال حافظه (Memory Transfer)
- نگاشت ورودی (Entry Mapping)
- لغو نگاشت ورودی (Entry Unmapping)
- دسترسی به ثبات‌های خاص مدل (MSR Access)
یکی از موارد خطرناک، امکان خواندن ثبات IA32_LSTAR است که نقطه ورود System Call سیستم را مشخص می‌کند. افشای این آدرس می‌تواند منجر به شکستن مکانیزم KASLR (رندوم‌سازی چیدمان فضای آدرس کرنل) شود. همچنین، مهاجم می‌تواند با ارسال شناسه Process و آدرس مجازی، محتویات حافظه را استخراج کند.
در آزمایش‌های انجام شده، موفقیت در Dump کردن حافظه سرویس LSASS در ویندوز 11 (نسخه 25H2) حتی با فعال بودن قابلیت‌های امنیتی مانند VBS، HVCI و Kernel Hardware-enforced Stack Protection مشاهده شده است.
پیامدهای احتمالی و توصیه‌های دفاعی
بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به افشای اطلاعات حساس زیر شود:
- اعتبارنامه‌ها (Credentials) و توکن‌های احراز هویت
- داده‌های Session و کلیدهای خصوصی (Private Keys)
- اطلاعات مرورگر و اسرار (Secrets) ذخیره شده در حافظه اپلیکیشن‌ها
توصیه‌های مدیریتی برای SOC و تیم‌های امنیت:
مدیران باید سریعاً نسخه‌های اصلاح‌شده (Fixed Releases) را از تامین‌کننده دریافت کرده و نصب کنند. همچنین توصیه می‌شود دسترسی به دستگاه PSMEMDriver محدود شده، پارامترهای درخواست‌ها اعتبارسنجی شوند و هرگونه دسترسی غیرمنتظره به این درایور در سیستم‌های مانیتورینگ رصد گردد.
