TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
ช่องโหว่ CVE-2025-3464 ความรุนแรงสูง 8.8 ในไดรเวอร์ AsIO3.sys บน ASUS Armoury Crate ทำให้ผู้โจมตีสามารถเข้าถึงระดับ SYSTEM ได้ผ่านการใช้ hard link
นักวิจัย Marcin “Icewall” Noga จาก Cisco Talos ค้นพบช่องโหว่ร้ายแรงในซอฟต์แวร์ ASUS Armoury Crate ที่อาจทำให้ผู้โจมตีสามารถยกระดับสิทธิ์การเข้าถึงไปยังระดับ SYSTEM บนเครื่อง Windows ได้ ช่องโหว่นี้ถูกติดตามในชื่อ CVE-2025-3464 และได้รับคะแนนความรุนแรง 8.8 จาก 10 คะแนน โดยส่งผลกระทบต่อไดรเวอร์ AsIO3.sys ซึ่งเป็นส่วนหนึ่งของระบบจัดการซอฟต์แวร์ Armoury Crate
Armoury Crate เป็นซอฟต์แวร์ควบคุมระบบอย่างเป็นทางการจาก ASUS สำหรับ Windows ที่ให้ interface แบบรวมศูนย์สำหรับควบคุมไฟ RGB (Aura Sync), ปรับ fan curves, จัดการ performance profiles และอุปกรณ์ต่อพ่วง ASUS รวมถึงดาวน์โหลดไดรเวอร์และอัปเดตเฟิร์มแวร์ เพื่อให้สามารถทำงานเหล่านี้และเข้าถึงการ monitoring ระดับต่ำของระบบได้ ซอฟต์แวร์นี้จึงใช้ kernel driver ในการเข้าถึงและควบคุมฟีเจอร์ฮาร์ดแวร์ต่างๆ ซึ่งทำให้การมีช่องโหว่ในส่วนนี้เป็นเรื่องที่น่ากังวลสำหรับองค์กรที่ใช้อุปกรณ์ ASUS เป็นจำนวนมาก
ปัญหาหลักของช่องโหว่นี้อยู่ที่การที่ไดรเวอร์ทำการตรวจสอบผู้เรียกใช้งานโดยอิงจาก hardcoded SHA-256 hash ของไฟล์ AsusCertService.exe และ PID allowlist แทนที่จะใช้การควบคุมการเข้าถึงระดับ OS ที่เหมาะสม วิธีการ exploit เกี่ยวข้องกับการสร้าง hard link จากแอปทดสอบธรรมดาไปยังไฟล์ executable ปลอม ผู้โจมตีจะเปิดใช้งานแอป หยุดชั่วคราว แล้วสลับ hard link ให้ชี้ไปยัง AsusCertService.exe เมื่อไดรเวอร์ตรวจสอบ SHA-256 hash ของไฟล์ จะมีการอ่าน trusted binary ที่ถูก link ไว้ ทำให้แอปทดสอบสามารถหลบเลี่ยงการอนุญาตและเข้าถึงไดรเวอร์ได้ สิ่งนี้ทำให้ผู้โจมตีได้รับสิทธิ์ระดับระบบต่ำ สามารถเข้าถึง physical memory, I/O ports และ model-specific registers (MSRs) โดยตรง ซึ่งเปิดทางไปสู่การควบคุม OS ได้อย่างสมบูรณ์
อย่างไรก็ตามผู้โจมตีต้องมีการเข้าถึงระบบอยู่แล้ว ไม่ว่าจะผ่านการติดมัลแวร์ ฟิชชิง หรือบัญชีที่ไม่มีสิทธิ์ที่ถูกบุกรุก จึงจะสามารถใช้ประโยชน์จาก CVE-2025-3464 ได้ การที่ซอฟต์แวร์นี้ถูกติดตั้งอย่างแพร่หลายในคอมพิวเตอร์ทั่วโลกอาจทำให้เป็นเป้าหมายที่น่าสนใจสำหรับผู้โจมตี Cisco Talos ยืนยันว่าช่องโหว่นี้ส่งผลกระทบต่อ Armoury Crate เวอร์ชัน 5.9.13.0 แต่ ASUS ระบุว่าช่องโหว่นี้ส่งผลกระทบต่อทุกเวอร์ชันตั้งแต่ 5.9.9.0 ถึง 6.1.18.0 ผู้ดูแลระบบควรอัปเดตโดยเร็วที่สุดผ่านการเปิดแอป Armoury Crate และไปที่ “Settings” > “Update Center” > “Check for Updates” > “Update” แม้ว่ายังไม่พบการโจมตีจริง แต่ ASUS แนะนำให้ผู้ใช้งานอัปเดตเป็นเวอร์ชันล่าสุดทันที
