- شناسه CVE-2025-53149 :CVE
- CWE-122 :CWE
- yes :Advisory
- منتشر شده: آگوست 12, 2025
- به روز شده: آگوست 28, 2025
- امتیاز: 7.8
- نوع حمله: Heap-based buffer overflow
- اثر گذاری: Privilege Escalation
- حوزه: سیستم‌عامل‌ها و اجزای کلیدی آن
- برند: Microsoft
- محصول: Windows Server
- وضعیتPublished :CVE
- No :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری سرریز بافر مبتنی بر هیپ، در درایور Kernel Streaming WOW Thunk Service ویندوز شناسایی شده است که امکان افزایش دسترسی لوکال را برای مهاجمان احراز هویت‌شده فراهم می‌کند. این ضعف امنیتی به مهاجمان با دسترسی محدود اجازه می‌دهد به سطح دسترسی SYSTEM دست یابند.
توضیحات
آسیب‌پذیری CVE-2025-53149 در درایور Kernel Streaming WOW Thunk Service (ksthunk.sys) ویندوز که برای پشتیبانی از سازگاری برنامه‌های 32 بیتی در محیط‌های 64 بیتی استفاده شده، ناشی از سرریز بافر مبتنی بر هیپ (Heap-based Buffer Overflow) مطابق با CWE-122 در تابع CKSAutomationThunk::HandleArrayProperty است.
این ضعف به مهاجمانی با دسترسی محدود (مانند کاربران عادی) امکان می‌دهد با ارسال درخواست‌های مخرب IOCTL (کنترل ورودی یا خروجی دستگاه ها) به دستگاه‌هایی که از ویژگی‌های KSPROPSETID_VPConfig یا KSPROPSETID_VPVBIConfig پشتیبانی می‌کنند، حافظه غیر قابل صفحه‌بندی (non-paged memory) را سرریز کرده و در نتیجه سطح دسترسی خود را به SYSTEM ارتقا دهند.
آسیب‌پذیری در نسخه‌های متعددی از ویندوز وجود دارد و زمانی فعال می‌شود که دستگاهی با پشتیبانی از ویژگی KSPROPERTY_VPCONFIG_DDRAWSURFACEHANDLE در دسترس باشد که معمولاً این ویژگی در سیستم‌های مجهز به سخت‌افزارهای چندرسانه‌ای خاص یافت می‌شود. علت اصلی این سرریز، اعتبارسنجی ناکافی طول بافر خروجی در برابر مقدار بازگشتی از KsSynchronousIoControlDevice است.
وجود این ضعف در درایوری مهم مانند ksthunk.sys، ریسک بالقوه‌ای برای سیستم‌های آسیب‌پذیر ایجاد می‌کند. تأثیرات آن شامل نقض محرمانگی، یکپارچگی و دسترس‌پذیری سیستم است و می‌تواند منجر به اجرای کد دلخواه در سطح کرنل شود.
مایکروسافت این ضعف را در به‌روزرسانی‌های امنیتی جدید پچ کرده است که شامل بررسی دقیق‌تر طول بافر خروجی و هدایت خطاها به تابع RtlLogUnexpectedCodepath می‌شود.
CVSS
| Score | Severity | Version | Vector String |
| 7.8 | HIGH | 3.1 | CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C |
لیست محصولات آسیب پذیر
| Versions | Platforms | Product |
| affected from 10.0.17763.0 before 10.0.17763.7678 | 32-bit Systems, x64-based Systems | Windows 10 Version 1809 |
| affected from 10.0.17763.0 before 10.0.17763.7678 | x64-based Systems | Windows Server 2019 |
| affected from 10.0.17763.0 before 10.0.17763.7678 | x64-based Systems | Windows Server 2019 (Server Core installation) |
| affected from 10.0.20348.0 before 10.0.20348.4052 | x64-based Systems | Windows Server 2022 |
| affected from 10.0.19044.0 before 10.0.19044.6216 | 32-bit Systems, ARM64-based Systems, x64-based Systems | Windows 10 Version 21H2 |
| affected from 10.0.22621.0 before 10.0.22621.5768 | ARM64-based Systems, x64-based Systems | Windows 11 version 22H2 |
| affected from 10.0.19045.0 before 10.0.19045.6216 | x64-based Systems, ARM64-based Systems, 32-bit Systems | Windows 10 Version 22H2 |
| affected from 10.0.26100.0 before 10.0.26100.4946 | x64-based Systems | Windows Server 2025 (Server Core installation) |
| affected from 10.0.22631.0 before 10.0.22631.5768 | ARM64-based Systems | Windows 11 version 22H3 |
| affected from 10.0.22631.0 before 10.0.22631.5768 | x64-based Systems | Windows 11 Version 23H2 |
| affected from 10.0.25398.0 before 10.0.25398.1791 | x64-based Systems | Windows Server 2022, 23H2 Edition (Server Core installation) |
| affected from 10.0.26100.0 before 10.0.26100.4946 | ARM64-based Systems, x64-based Systems | Windows 11 Version 24H2 |
| affected from 10.0.26100.0 before 10.0.26100.4946 | x64-based Systems | Windows Server 2025 |
| affected from 10.0.10240.0 before 10.0.10240.21100 | 32-bit Systems, x64-based Systems | Windows 10 Version 1507 |
| affected from 10.0.14393.0 before 10.0.14393.8330 | 32-bit Systems, x64-based Systems | Windows 10 Version 1607 |
| affected from 10.0.14393.0 before 10.0.14393.8330 | x64-based Systems | Windows Server 2016 |
| affected from 10.0.14393.0 before 10.0.14393.8330 | x64-based Systems | Windows Server 2016 (Server Core installation) |
| affected from 6.0.6003.0 before 6.0.6003.23471 | 32-bit Systems | Windows Server 2008 Service Pack 2 |
| affected from 6.0.6003.0 before 6.0.6003.23471 | 32-bit Systems, x64-based Systems | Windows Server 2008 Service Pack 2 (Server Core installation) |
| affected from 6.0.6003.0 before 6.0.6003.23471 | x64-based Systems | Windows Server 2008 Service Pack 2 |
| affected from 6.1.7601.0 before 6.1.7601.27872 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 |
| affected from 6.1.7601.0 before 6.1.7601.27872 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 (Server Core installation) |
| affected from 6.2.9200.0 before 6.2.9200.25622 | x64-based Systems | Windows Server 2012 |
| affected from 6.2.9200.0 before 6.2.9200.25622 | x64-based Systems | Windows Server 2012 (Server Core installation) |
| affected from 6.3.9600.0 before 6.3.9600.22725 | x64-based Systems | Windows Server 2012 R2 |
| affected from 6.3.9600.0 before 6.3.9600.22725 | x64-based Systems | Windows Server 2012 R2 (Server Core installation) |
لیست محصولات بروز شده
| Versions | Platforms | Product |
| 10.0.17763.7678 | 32-bit Systems, x64-based Systems | Windows 10 Version 1809 |
| 10.0.17763.7678 | x64-based Systems | Windows Server 2019 |
| 10.0.17763.7678 | x64-based Systems | Windows Server 2019 (Server Core installation) |
| 10.0.20348.4052 | x64-based Systems | Windows Server 2022 |
| 10.0.19044.6216 | 32-bit Systems, ARM64-based Systems, x64-based Systems | Windows 10 Version 21H2 |
| 10.0.22621.5768 | ARM64-based Systems, x64-based Systems | Windows 11 version 22H2 |
| 10.0.19045.6216 | x64-based Systems, ARM64-based Systems, 32-bit Systems | Windows 10 Version 22H2 |
| 10.0.26100.4946 | x64-based Systems | Windows Server 2025 (Server Core installation) |
| 10.0.22631.5768 | ARM64-based Systems | Windows 11 version 22H3 |
| 10.0.22631.5768 | x64-based Systems | Windows 11 Version 23H2 |
| 10.0.25398.1791 | x64-based Systems | Windows Server 2022, 23H2 Edition (Server Core installation) |
| 10.0.26100.4946 | ARM64-based Systems, x64-based Systems | Windows 11 Version 24H2 |
| 10.0.26100.4946 | x64-based Systems | Windows Server 2025 |
| 10.0.10240.21100 | 32-bit Systems, x64-based Systems | Windows 10 Version 1507 |
| 10.0.14393.8330 | 32-bit Systems, x64-based Systems | Windows 10 Version 1607 |
| 10.0.14393.8330 | x64-based Systems | Windows Server 2016 |
| 10.0.14393.8330 | x64-based Systems | Windows Server 2016 (Server Core installation) |
| 6.0.6003.23471 | 32-bit Systems | Windows Server 2008 Service Pack 2 |
| 6.0.6003.23471 | 32-bit Systems, x64-based Systems | Windows Server 2008 Service Pack 2 (Server Core installation) |
| 6.0.6003.23471 | x64-based Systems | Windows Server 2008 Service Pack 2 |
| 6.1.7601.27872 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 |
| 6.1.7601.27872 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 (Server Core installation) |
| 6.2.9200.25622 | x64-based Systems | Windows Server 2012 |
| 6.2.9200.25622 | x64-based Systems | Windows Server 2012 (Server Core installation) |
| 6.3.9600.22725 | x64-based Systems | Windows Server 2012 R2 |
| 6.3.9600.22725 | x64-based Systems | Windows Server 2012 R2 (Server Core installation) |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Microsoft Windows یا Kernel Streaming WOW Thunk Service را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Product |
| 185,000 | Microsoft Windows |
| 9 | Microsoft Windows/Kernel Streaming/ WOW Thunk |
نتیجه گیری
با توجه به شدت بالا و ماهیت این آسیب‌پذیری و امکان افزایش سطح دسترسی به SYSTEM ، اقدامات کاهش ریسک زیر توصیه می‌شود:
- به‌روزرسانی فوری سیستم‌ها: نصب آخرین Security Updates ارائه‌شده توسط مایکروسافت برای درایور sys که شامل بررسی دقیق طول بافر خروجی و مدیریت مناسب خطاها می باشد.
- محدودسازی دسترسی کاربران: جلوگیری از اجرای عملیات IOCTL توسط کاربران غیرمجاز و اعمال اصل حداقل دسترسی (Least Privilege) در محیط‌های کاری.
- استفاده از مکانیزم‌های محافظتی کرنل: فعال‌سازی ویژگی‌هایی مانند Device Guard و Kernel-mode Code Integrity (KMCI) برای جلوگیری از بارگذاری درایورهای غیرمعتبر یا اجرای کد مخرب در سطح کرنل.
- نظارت و تشخیص فعالیت‌های مشکوک: مانیتورینگ فراخوانی های IOCTL و عملکردهای غیرمعمول مرتبط با دستگاه‌های چندرسانه‌ای که ممکن است هدف حمله قرار گیرند.
- تقویت امنیت توسعه درایورها: در توسعه درایورهای سیستم، اعتبارسنجی دقیق طول بافرها و استفاده از توابع امن کپی حافظه مانند RtlCopyMemory با بررسی محدودیت‌ها ضروری است.
با اجرای این اقدامات، ریسک بهره‌برداری از سرریز بافر در درایور Kernel Streaming WOW Thunk Service کاهش یافته و امنیت سیستم‌های آسیب‌پذیر تا حد قابل توجهی افزایش می‌یابد.
امکان استفاده در تاکتیک های Mitre Attack
- Initial Access (TA0001)
T1190 – Exploit Public-Facing Application / Local Access Exploit
مهاجم با دسترسی محدود به سیستم محلی می‌تواند از طریق ارسال درخواست‌های مخرب IOCTL به درایور sys، سرریز بافر مبتنی بر هیپ ایجاد کند. - Execution (TA0002)
T1059 – Command and Scripting Interpreter
در صورت بهره‌برداری موفق، مهاجم می‌تواند کد دلخواه را در سطح کرنل اجرا کند. - Privilege Escalation (TA0004)
T1068 – Exploitation for Privilege Escalation
سرریز بافر هیپ در درایور Kernel Streaming WOW Thunk امکان افزایش دسترسی از کاربر عادی به سطح SYSTEM را فراهم می‌کند. - Defense Evasion (TA0005)
T1562 – Impair Defenses
مهاجم ممکن است با اجرای کد در کرنل، مکانیزم‌های امنیتی و کنترل دسترسی را دور بزند. - Impact (TA0040)
T1486 – Data Encrypted for Impact / T1490 – Inhibit System Recovery
افزایش سطح دسترسی به SYSTEM می‌تواند منجر به تغییر، تخریب یا کنترل کامل سیستم شود و تأثیر بر محرمانگی، یکپارچگی و دسترس‌پذیری سیستم دارد.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-53149
- https://www.cvedetails.com/cve/CVE-2025-53149/
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53149
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-53149
- https://vuldb.com/?id.319643
- https://www.crowdfense.com/cve-2025-53149-windows-ksthunk-heap-overflow/
- https://nvd.nist.gov/vuln/detail/CVE-2025-53149
- https://cwe.mitre.org/data/definitions/122.html
