本稿は、情報セキュリティカンファレンス「Black Hat Asia 2026」のブリーフィングセッション「Overkill: Hijacking a Wi-Fi 7 Chip for SYSTEM Privileges」の内容を基に、攻撃の詳細を解説する。セッションの登壇者は、ZHAWの大学院生であるニコラ・シュタウファー氏と、シニアレクチャラーのギュルカン・ギュル氏だ。

　研究チームが標的にしたのは、MediaTekが2024年に量産を開始したWi-Fi 7および「Bluetooth 5.4」に適合する通信チップ「MT7925」（開発コード名：Filogic 360）だ。同チップは数億個規模の出荷が見込まれており、社会的な影響範囲が極めて大きい。

　通信データを高速に処理するため、通信チップはメインメモリへの直接アクセス技術「DMA」（Direct Memory Access）を用いてシステムメモリからデータを読み書きする。OSには周辺機器からの不正なメモリアクセスを制限する保護機構である「IOMMU」（I/O Memory Management Unit）が存在するが、アクセス範囲を制限するのみで、通信チップから送られてくる個々のデータの中身（妥当性）までは検証しない。研究チームは、このOS側のデータ検証の隙を侵入経路として悪用した。

従来アプローチとの差異と攻撃の優位性

　Windowsの権限昇格に関する既存研究は、主にカーネル自体の欠陥やドライバーのメモリ破損を対象としてきた。しかし、通信モジュールなどのファームウェアは一般的なセキュリティ保護機構が実装されていないことが大半で、閉鎖的なブラックボックスとして稼働している。

　そのため、一度ファームウェアでプログラムを実行できるようになれば、攻撃者はEDR（Endpoint Detection and Response）などのセキュリティソフトウェアの監視網を回避できる。OSからファームウェア内部の挙動を追跡する手段が乏しいため、エンドユーザーに気付かれることなく位置情報を収集したり、カーネル攻撃に向けた拠点を構築したりすることが可能になる。

　攻撃の準備段階として、研究チームは通信プロセッサの内部構造を解析した。ユーザー空間からデバイスの制御領域へ意図的に無効なデータを書き込み、異常終了時のログ（コアダンプ）を発生させて解析を実施した。

　その結果、プロセッサの構造やメモリ設定が明らかになり、プログラムの実行が許可されたメモリ領域を特定することに成功した。これによって、通信チップに攻撃用プログラム（シェルコード）を書き込んで実行させる手法を確立している。

Windowsカーネルへのエクスプロイトチェーン

　研究チームが実証した攻撃手法「Overkill」は、通信チップの制御奪取からOSカーネルへの攻撃につなげ、Windows 11（25H2）のSYSTEM権限を獲得する。具体的なプロセスは以下の6ステップで進行する。

1. ドライバーのメモリ情報漏えい
   • 無線LANドライバーの不具合（競合状態）を突き、メモリの配置情報を取得する
2. カーネルのアドレス特定
   • 漏えい情報を基にサイドチャネル攻撃を実行し、Windowsカーネルの配置アドレスを特定する
3. 制御領域へのアクセス有効化
   • ユーザー空間から通信チップの制御領域への書き込みを有効化する
4. ファームウェアの制御奪取
   • 通信チップのメモリ領域にシェルコードを書き込み、チップを乗っ取る
5. カーネルのメモリ書き換え
   • 乗っ取ったチップからOSへ偽のデータ通知を複数回送信する。OSの検証漏れを突いてバッファオーバーフローを誘発させ、権限管理データを上書きする
6. 最高権限の獲得
   • プロセスの特権状態が書き換えられ、SYSTEM権限のコマンドプロンプトが起動する

ファームウェアの境界防御における今後の展望

　今回の攻撃に悪用された3つの脆弱性は、2026年3月までに開発元のMediaTekからセキュリティパッチが提供されており、すでに修正済みだ。

　本研究は、周辺機器からのデータを暗黙的に信頼してしまうOSの構造的欠陥を浮き彫りにした。通信モジュールのような周辺機器が侵された場合、システム全体のセキュリティ機構が無効化される恐れがある。今後は、ファームウェアとOSカーネルの間を厳密なセキュリティ境界として定義し、周辺機器からの入力データに対する厳格な検証をOSに実装することが重要となる。

本稿は、Black Hatが2026年8月29日に公開した動画「Black Hat Asia 2026 | Overkill: Hijacking a Wi-Fi 7 Chip for SYSTEM Privileges」を基に作成しました。