ASUS bsitf.sys: Arbitrary Physical Memory Mapping über unvalidierten IOCTL

Beschreibung

Im ASUS-Treiber bsitf.sys erlaubt ein unvalidierter IOCTL das beliebige Mappen von physischem Speicher (Arbitrary Physical Memory Mapping). Die Schwachstelle wurde als 0-day mit öffentlichem Writeup und Proof of Concept auf Reddit gemeldet (manuell erfasst, reddit:r/netsec, r/hacking, r/Malware). CVSS- und EPSS-Werte liegen in den Quelldaten nicht vor. Empfohlene Massnahme: keine in den Quelldaten genannt; die Meldung verweist auf den CVE-Eintrag unter cve.org.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Supermicro/ASUS/Gigabyte

• ASUS Live Update – eingebetteter Schadcode KEV CVE-2025-59374
• ASUS Router – Improper Authentication KEV CVE-2021-32030
• ASUS RT-AX55 – OS Command Injection KEV CVE-2023-39780
• GIGABYTE Multiple Products – nicht spezifizierte Sicherheitslücke KEV CVE-2018-19320
• GIGABYTE Multiple Products – Privilege Escalation KEV CVE-2018-19321
• GIGABYTE Multiple Products – Code Execution KEV CVE-2018-19322