یک آسیب‌پذیری جدید از نوع Denial-of-Service (DoS) در درایور Argus Monitor شناسایی شده است که با شناسه CVE-2026-79417 ثبت گردیده است. این نقص امنیتی به کاربران بدون دسترسی مدیریت (Unprivileged Users) اجازه می‌دهد تا پایداری سیستم را به خطر اندازند.
جزئیات فنی آسیب‌پذیری
بررسی‌ها نشان می‌دهد که یک IOCTL در معرض دید (Exposed)، به مهاجم اجازه می‌دهد تا دستورات x86 MONITOR & MWAIT را غیرفعال کند. این دستورات توسط Hyper-V و سایر اجزای هسته (Kernel) برای مدیریت توان و هماهنگی استفاده می‌شوند. غیرفعال شدن این قابلیت‌ها منجر به بروز خطای بحرانی HYPERVISOR_ERROR و در نتیجه وقوع Bugcheck یا همان صفحه مرگ (BSOD) می‌شود.
مسیر بهره‌برداری (Exploit Path)
برای دسترسی به IOCTL مذکور، مهاجم باید ابتدا یک باگ از نوع TOCTOU (Time-of-Check to Time-of-Use) را اکسپلویت کند. تحلیل‌گران معتقدند این مشکل به دلیل مستندات ناقص تابع SeLocateProcessImageName ایجاد شده است.
تحلیل مکانیزم‌های امنیتی
در این پژوهش، سیستم رمزنگاری IOCTL که توسط توسعه‌دهنده برای «امنیت از طریق ابهام» (Security through Obscurity) پیاده‌سازی شده بود، بازسازی شده است. این مکانیزم شامل موارد زیر است:
- استفاده از SHA-256 KDF برای تولید کلید XOR.
- به‌کارگیری CRC16 Checksum برای اعتبارسنجی داده‌ها.
در حال حاضر یک کد اثبات مفهوم (PoC) برای این آسیب‌پذیری در دسترس است که نشان‌دهنده امکان اجرای حمله در محیط‌های عملیاتی است.
