Уязвимость в модулях памяти Corsair, G.Skill и Adata позволяет обходить защиту Windows

Специалисты из Бирмингемского и Даремского университетов Великобритании обнаружили, что уязвимость в модулях памяти от Corsair, G.Skill и Adata позволяет обходить защитные механизмы Windows с помощью программных методов. Проблема заключается в недостаточной защите SPD-чипов на этих модулях, которые используются многими крупными производителями.

Атака, получившая название «Скачать ещё памяти» (Download More RAM), связана с тем, что конфигурационные чипы SPD не имеют защиты от записи. Это позволяет злоумышленникам заставить Windows «видеть» больше оперативной памяти, чем есть на самом деле, создавая дополнительные адреса памяти, которые служат псевдонимами для настоящих, и открывая бэкдор для обхода средств контроля доступа.

Используя эту уязвимость, злоумышленник может запускать уязвимые драйверы, отключать антивирусное программное обеспечение, а также получать доступ к защищённым областям памяти, что нарушает работу защитных средств виртуализации и технологий, направленных на предотвращение атак с привилегиями администратора.

Исследователи разработали скрипт, который может выполнить всю цепочку атаки с одним щелчком мыши. Они установили, что Corsair, G.Skill и Adata имеют по крайней мере одну линейку продуктов с незащищёнными чипами, что нарушает рекомендации JEDEC. На эти компании приходится 55% рынка высокопроизводительной памяти и более 70% сегмента игровых модулей.

Кроме того, было выявлено, что модули Crucial, Kingston и HyperX имеют частичную защиту от записи, что не предотвращает атаку. Microsoft подтвердила наличие уязвимости, которая получила номер CVE-2026-23670 и была устранена в апрельском обновлении безопасности Windows. Уязвимые остаются только устройства с отключённой функцией Secure Boot. Corsair внедрила в приложение iCue опцию, позволяющую активировать защиту от записи, а некоторые другие производители предлагают аналогичные решения через утилиты.