CVE-2026-12780 w sterowniku amwrtdrv.sys z AOMEI Backupper 8.4.0 wygląda początkowo jak local privilege escalation. CERT/CC opisuje jednak ciekawszy problem: world-accessible device object bez właściwego security descriptora pozwala nieuprzywilejowanemu procesowi wykonywać arbitralne zapisy do fizycznego dysku. Przy wyłączonym Secure Boot attack path może przejść z poziomu użytkownika Windows do pre-OS UEFI code execution. To dobry przypadek, bo pokazuje, że „local” nie oznacza automatycznie „mały blast radius”, a security controls działające w OS tracą znaczenie, gdy exploit przechodzi pod ich warstwę.
amwrtdrv.sys tworzy device dostępne dla zwykłego user-mode process bez ograniczeń → arbitrary write do sektorów fizycznego dysku (nie tylko własnego pliku).Attack path przez warstwy
W tym momencie zmienia się security boundary: EDR, Defender, HVCI i izolacja Hyper-V nie mogą „cofnąć” wykonania sprzed startu kontrolowanej przez nie warstwy. Severity: skutek bardzo poważny (pre-OS execution, obejście kontroli kernel/endpoint). Exploitability: wymaga lokalnego footholdu — to obniża prawdopodobieństwo względem unauth network RCE, ale nie powinno spychać priorytetu nisko tam, gdzie attacker zdobywa user-level execution przez phishing/browser/malware. CERT/CC zauważa też, że w BitLocker TPM-only pre-boot atak może umożliwić przechwycenie Volume Master Key — ale nie każdy host z BitLockerem automatycznie traci VMK; wzbogać affectedness o konfigurację protectora, Secure Boot i boot policy.
Fixed-version provenance i weryfikacja
CERT/CC zaleca aktualizację do wersji z poprawionym amwrtdrv.sys, ale vendor status pozostaje „brak statementu” — nie wymyślaj numeru fixed version dla ładnego warunku w skanerze. Bez zweryfikowanego poprawionego artefaktu: odinstalowanie AOMEI Backupper, wyłączenie usługi amwrtdrv.sys jeśli produkt zbędny, włączenie Secure Boot (defense in depth — redukuje część skutku, ale nie usuwa nieautoryzowanego dostępu do dysku). Dowód closure obejmuje sam sterownik: czy amwrtdrv.sys istnieje, jaka wersja/hash/provenance, czy service jest aktywny, czy device ACL/security descriptor ogranicza dostęp, czy Secure Boot jest włączony, czy host wymaga boot-integrity review przy wcześniejszej podatności/podejrzeniu. Jeśli attacker mógł zapisać pre-OS payload przed remediation, podmiana drivera nie usuwa już istniejącej modyfikacji boot chain. False positive: aplikacja w inventory, ale driver niezainstalowany/nieaktywny. False negative: aplikacja „zaktualizowana”, ale stary vulnerable driver nadal załadowany albo provenance nieznane — komponentem weryfikacji jest kernel driver, nie marketingowa nazwa produktu.
Powiązane na blogu
- Windows: lokalny EoP w chainie — „local” a pozycja w attack chain
- Flatpak: sandbox escape — property produktu jako granica
Źródła
- CERT/CC VU#687587 — kb.cert.org
Nota redakcyjna: stan informacji 12 września 2026. CVE-2026-12780 (amwrtdrv.sys, AOMEI Backupper 8.4.0): arbitrary physical-disk write, a przy wyłączonym Secure Boot pre-OS UEFI execution. Vendor status bez fixed version; brak potwierdzenia active exploitation. Artykuł zaleca weryfikację samego sterownika i granicy boot trust.