CVE-2026-89612

CVE-2026-89612 affects the Linux kernel NTFS filesystem driver . The root cause is a type mismatch in parse_ntfs_boot_sector(): MFT and MFTMirr locations are stored as unsigned 64-bit LCNs in the NTFS boot sector but decoded into an s64 , allowing a crafted high-bit value to become negative and b...

CVE-2026-89612 ntfs: reject invalid MFT LCNs from boot sector

In the Linux kernel, the following vulnerability has been resolved: ntfs: reject invalid MFT LCNs from boot sector The NTFS boot sector stores the MFT and MFTMirr locations as unsigned 64-bit LCNs, but parsentfsbootsector decoded them into an s64. A crafted high-bit value could therefore become...

CVE-2026-89611 ntfs: validate non-resident attribute offsets

In the Linux kernel, the following vulnerability has been resolved: ntfs: validate non-resident attribute offsets ntfsattrupdatemeta shifts the attribute name when converting between non-sparse and sparse attributes. Converting to sparse also adds the compressedsize field before the name and...

EUVD-2026-76523

In the Linux kernel, the following vulnerability has been resolved: ntfs: validate non-resident attribute offsets ntfsattrupdatemeta shifts the attribute name when converting between non-sparse and sparse attributes. Converting to sparse also adds the compressedsize field before the name and...

CVE-2026-89611

CVE-2026-89611 is a Linux kernel vulnerability in the NTFS filesystem driver where the validator for non-resident attributes fails to check that name_offset falls within safe boundaries during sparse/non-sparse attribute conversion. A malicious MFT record could position the attribute name at the ...

EUVD-2026-76522

In the Linux kernel, the following vulnerability has been resolved: ntfs: verify run length exceeding volume boundary The mapping pairs decoder validates that the starting LCN is within the volume but does not check if the run extends beyond the volume boundary. A malformed NTFS image with a...

CVE-2026-89610

CVE-2026-89610 affects the Linux kernel NTFS filesystem driver. The mapping pairs decoder validates that a starting LCN is within the volume but does not check whether the run (LCN + length) extends beyond the volume boundary. A malformed NTFS image with a crafted mapping pairs array can cause th...

CVE-2026-89610 ntfs: verify run length exceeding volume boundary

In the Linux kernel, the following vulnerability has been resolved: ntfs: verify run length exceeding volume boundary The mapping pairs decoder validates that the starting LCN is within the volume but does not check if the run extends beyond the volume boundary. A malformed NTFS image with a...

ntfstool

ntfstool NTFSTool is a forensic tool focused on NTFS volumes. It supports reading partition info MBR, partition table, VBR but also information on Master File Table, Bitlocker encrypted volume, EFS encrypted files, USN journal and more. Download the latest binaries on AppVeyor or by checking the...

UnderlayCopy

UnderlayCopy UnderlayCopy 是一个 PowerShell 实用工具，用于底层 NTFS 采集以及转储受保护、被锁定的系统文件（例如：SAM 、SYSTEM 、NTDS.dit 、注册表配置单元 ，以及其他在 Windows 运行时通常无法访问的文件）。它支持两种互补模式，无需使用 VSS 或标准文件 I/O 即可实现此目的： MFT 模式 ：解析 $MFT 记录，并通过读取原始卷扇区来重建/复制文件数据。 元数据模式 ：使用文件系统元数据（fsutil）将文件映射到簇并复制原始扇区。 用途 ：研究、红队演练和 DFIR 采集。 不适用于 ：未授权访问或恶意使用。...

plaso

Plaso Plaso Langar Að Safna Öllu - super timeline all the things Plaso Plaso Langar Að Safna Öllu, or super timeline all the things , is a Python-based engine used by several tools for automatic creation of timelines. Plaso default behavior is to create super timelines but it also supports creati...

irflow-timeline

IRFlow Timeline macOS ネイティブのフォレンジックタイムライン解析。EVTX、CSV、XLSX、Plaso、$MFT、$J、ローカル AI アシスタントアーティファクトをインポート・検索・調査 — AI Secret Hunt と DFIR プロフェッショナルが実際に必要とする分析機能を搭載。Electron + SQLite 上に構築され、数百万行のデータも難なく処理します。 Eric Zimmerman の Windows 用 Timeline Explorer に着想を得ています。 主な機能 AI アーティファクト — Claude...

RawHive

RawHive RawHive is a Cobalt Strike BOF for pulling selected Windows registry hives directly from a raw NTFS volume. It skips the normal file APIs, walks NTFS metadata to find the target file records, and copies the bytes straight from disk. It currently looks for: C:\Windows\System32\config\SAM...

CVE-2025-3464-AsIO3-LPE

CVE-2025-3464-AsIO3-LPE CVE-2025-3464: Exploit de escalación local sin privilegios para AsIO3.sys de ASUS - Bypass de autenticación TOCTOU + Decremento de PreviousMode CVE-2025-3464: Escalación de Privilegios Local en AsIO3.sys Este exploit solo funciona en Windows 11 22H2 o anterior. Microsoft...

CVE-2023-36424

信息 ============== Windows 内核池（clfs.sys）损坏权限提升。（CVE-2023-36424） 本仓库包含技术分析与有效利用代码。 作者：Nassim Asrir @p1k4l4 || https://www.linkedin.com/in/nassim-asrir-b73a57122/ 漏洞 ================ clfs.sys 微过滤器驱动程序中存在池溢出。相关信息可参阅： 1 -...

DriverJack

DriverJack 简介 DriverJack 是一款旨在利用鲜为人知的 NTFS 技术加载有漏洞驱动程序的工具。这些方法通过劫持现有服务绕过系统上驱动服务的注册，并且还伪造驱动加载事件中显示的镜像路径。为进一步隐藏有漏洞驱动的存在，该攻击还利用了模拟文件系统只读绕过，在加载前替换已挂载 ISO 上的驱动文件内容。 模拟文件系统只读绕过 DriverJack 利用了将挂载在模拟文件系统上的文件重新映射到读写页以覆盖其内容的可能性。此只读绕过在 IoCdfsLib 中实现。 攻击概述 一旦 ISO...

CVE-2021-43229

CVE-2021-43229 ウォークスルー 公開情報 Windows NTFS の特権昇格の脆弱性 以下とは異なる: CVE-2021-43230 CVE-2021-43231 パッチ: 2021年12月14日 Twitter の @AravGarg3 によると、CVE-2021-43229 は悪用可能であり、整数オーバーフロー に関連しているようです。 ソース : https://twitter.com/AravGarg3/status/1479447843458863104 Windows 10 のバージョン...

blindsight

blindsight “根本不存在什么适者生存。 或许只是最合适者生存。 解决方案是否最优并不重要。 重要的是它能否胜过替代方案。” —— 彼得·沃茨，《盲视》（2006） 用于转储 LSASS 内存、绕过基本防护措施的红队工具。它利用事务性 NTFS（TxF API）透明地打乱内存转储内容，以避免触发 AV/EDR/XDR。 文章 https://hnsecurity.it/blog/an-offensive-rust-encore 另请参阅 https://attack.mitre.org/techniques/T1003/001/...

CVE-2026-41091-PoC-Exploit

☀️ CVE-2026-41091 - RedSun SolarFlare - Microsoft Defender 本地权限提升漏洞 Microsoft Defender 链接跟随漏洞 - 本地权限提升至 NT AUTHORITY\SYSTEM 该漏洞被称为 "RedSun" 🎯，"SolarFlare" 是我给我的漏洞利用取的名字。 ✅ 📌 概述 此仓库包含针对 CVE-2026-41091 （Microsoft Defender / Microsoft 恶意软件防护引擎中的关键本地权限提升漏洞）的完整工作概念验证 PoC 漏洞利用。通过利用不正确的链接解析...

libfsntfs

libfsntfs 是一个用于访问新技术文件系统（NTFS）格式的库。 项目信息： 状态：实验性 许可证：LGPL-3.0-or-later 只读支持的 NTFS 格式： NTFS 版本 3.0 NTFS 版本 3.1 支持的 NTFS 格式特性： LZNT1 压缩 Windows Overlay Filter（WOF）压缩数据（LZX 和 LZXPRESS-Huffman） 区分大小写的目录 不支持的 NTFS 格式特性： NTFS 版本 1.0 NTFS 版本 1.1 NTFS 版本 1.2 加密文件系统（EFS） 更多信息请参阅：...