Critical WatchGuard Endpoint Security Flaw Exposes Kernel and Process Memory
2026/10/06 gbhackers — WatchGuard Endpoint Security 製品に存在する、深刻な脆弱性を悪用するローカルの認証済み攻撃者は、ドライバの認証を回避して機密性の高いカーネル・メモリやプロセス・メモリにアクセスする可能性がある。2026年10月5日付のアドバイザリによると、この脆弱性 CVE-2026-13043 (CVSS 9.3) は、Panda Kernel Memory Access Driver (pskmad.sys) に影響を及ぼす。
WatchGuard Endpoint Security の脆弱性
研究者である Juan Sacco が発見したのは、Panda Security／WatchGuard 製品で使用されている PSKMAD ドライバの脆弱性である。アドバイザリによると、この問題を 2026年10月に確認した Panda は、すでに修正を完了している。
ただし、検証時において、ベンダーのアドバイザリを取得できなかったため、影響を受ける製品バージョン／修正版／具体的な修正方法については確認されていない。
この脆弱性は、ユーザーが制御するリクエストを、特権カーネル操作へ変換するドライバ・インターフェイスでの認証機能の欠如に起因する。
このドライバは、PSMEMDriver デバイスを公開しており、入出力制御コマンドを通じて、ユーザーモード・アプリケーションからのメモリ・アクセス要求が可能になる。デバイスを開く手順には、PsOpenPacket000 と呼ばれる拡張属性のハンドシェイクが含まれているが、この脆弱性を悪用する攻撃者は、本来のアクセス制御を回避できる。
この脆弱性の概念実証では、メモリ転送／エントリのマッピング／エントリのマッピング解除／モデル固有レジスタへのアクセスという、4 種類の操作が実行されている。
4 種類の操作は、いずれも METHOD_BUFFERED／FILE_ANY_ACCESS を使用する。これらの設定により、リクエストの処理方法／IOCTL のアクセス要件が定義される。ただし、この設定だけで、すべてのローカル・ユーザーが、デバイスを開けることを意味するわけではない。悪用の可否を左右する重要な要素は、デバイスのアクセス許可／認証の不備である。
実証された機能の 1 つは、システムコールのエントリ・ポイントに関連する、プロセッサ・レジスタ IA32_LSTAR の読み取りである。この特権アドレスがユーザー・モードへ公開されると、カーネルのアドレス情報が漏えいし、カーネル・アドレス空間配置のランダム化が弱体化する可能性がある。
さらに、このドライバは、標的プロセスの識別子と仮想アドレスを受け取り、要求されたメモリをマッピングし、内容を呼び出し元へ転送した後に、マッピングを解放する。
調査で確認されたのは、コミット済みで読み取り可能なプロセス・メモリ領域から、ページ・サイズ単位のデータを読み取る機能であり、標的プロセスのメモリを 16 進ダンプとして取得できる。
また、仮想化ベースのセキュリティ (VBS)／ハイパーバイザで保護されたコード整合性 (HVCI)／カーネルのハードウェア強制スタック保護を有効にした Windows 11 25H2で、Local Security Authority Subsystem Service (LSASS) のメモリ・ダンプも実証されている。ただし、この実証は、すべての構成／保護対象プロセスに対して、同じようにアクセスできることを意味するものではない。
この脆弱性の悪用に成功した攻撃者は、メモリ内に保存されている認証情報／認証トークン／セッションデータ／秘密鍵／ブラウザ情報／アプリケーション・シークレットなどの漏えいを引き起こす可能性がある。
実証された機能が主に示しているのは情報漏えいであり、任意のコード実行が検証されたわけではない。また、ドライバが存在しない環境で、ドライバをインストールして起動することは別の前提条件であり、すでにインストールされている脆弱なエンドポイント・コンポーネントへのアクセスと混同すべきではない。
管理者に求められるのは、ベンダーが確認した修正版を入手し、影響を受けるエンドポイントの修正を優先することである。推奨される防御策として挙げられるのは、デバイスへのアクセス制限／呼び出し元の認証とプロセス・アクセス・チェックの強制／リクエスト・パラメータの検証／不要なレジスタ読み取り機能の削除／PSMEMDriver への予期しないアクセスの監視である。
互換性の確認／エンドポイント保護機能のテストを行った上で、脆弱なドライバをブロックする方法もある。ただし、運用に支障が出る可能性がある。
WatchGuard Endpoint Security 製品に存在するカーネル・ドライバの深刻な不備に関する情報が公開されています。Panda Kernel Memory Access Driver におけるアクセス検証機能の欠如に伴い、カーネルアドレス情報の漏えい／プロセス領域の不正読み取り／暗号鍵や認証情報の奪取といった被害が生じるおそれがあります。なお、対象となる CVE は CVE-2026-13043 です。対応策として修正プログラムの適用／デバイスアクセス制限の導入／ドライバ呼び出しの監視が求められます。
You must be logged in to post a comment.