Software-update: Fan Control 217

Versie 217 van Fan Control is uitgekomen. Met dit programma, dat gebruikmaakt van het opensource Libre Hardware Monitor-project, kunnen de ventilators in de computer worden beheerd en in de gaten worden gehouden. Zo is het onder meer mogelijk om met verschillende profielen en configuraties de computer koel of juist stil te houden. Fan Control kan overweg met de meeste fans en controllers en via een plug-insysteem is dat verder uit te breiden. De changelog voor deze uitgave ziet er als volgt uit:

Changelog for version 217:

• Many of you reported that Defender started to flag the LibreHardwareMonitorLib driver (WinRing0x64.sys), you do not need to report it furthermore, I am aware of it. This kernel driver always had a known vulnerability that could be theoretically be exploited on an infected machine. The driver or the program itself are not malicious and are not more or less secure than before it got flagged. It is good practice to review the risk before any action is taken with Defender
• Japanese translation
• Better ADLX compatibility
• Various small bug fixes

Versienummer	217
Releasestatus	Final
Besturingssystemen	Windows 10, Windows 11
Website	Fan Control
Download	https://github.com/Rem0o/FanControl.Releases/releases/tag/V217
Licentietype	Freeware

Reacties (12)

[CriticalHit_NL]

Many of you reported that Defender started to flag the LibreHardwareMonitorLib driver (WinRing0x64.sys), you do not need to report it furthermore, I am aware of it. This kernel driver always had a known vulnerability that could be theoretically be exploited on an infected machine. The driver or the program itself are not malicious and are not more or less secure than before it got flagged. It is good practice to review the risk before any action is taken with Defender

Dat is bagetaliseren van de hoogste vorm, veel software die de hardware aanstuurt, zoals vroeger EVGA Precision X en op dit moment o.a. nog steeds Cooler Master Plus gebruiken deze low-level driver. Het probleem is dat zodra deze driver actief draait op het systeem dat deze daadwerkelijk het mogelijk maakt voor andere programma's op de computer deze driver aan te spreken en te misbruiken om een hoger niveau van toegang (privilege escalation) te bewerkstelligen.

Het is dus zaak dat dit soort drivers worden gemeden, EVGA had toen de driver zelf weer van de grond af opgebouwd en was daarna niet meer vatbaar, dat zouden meer producenten van hardware moeten doen.

Je kan hiervan een stukje lezen op deze pagina:
https://medium.com/@matte...-precisionx1-cf63c6b95896

WinRing0 allows users to read and write to arbitrary physical memory, read and modify the model specific registers (MSRs), and read/write to IO ports on the host. These features are intended by the driver’s developers. However, because a low-privileged user can make these requests, they present an opportunity for local privilege escalation. For example, if a local user uses the IOCTLs related to reading and writing to arbitrary memory locations, they can gain NT AUTHORITY\SYSTEM privileges via mapping \Device\PhysicalMemory into the calling process.

The core issue is not necessarily that the driver provides these types of functions, but that an ACL is not applied to the device object, allowing unrestricted access to these features.

Actual Remediation
EVGA opted instead to write new drivers, driver-x64.sys and driver-x86.sys, from the ground up that have been implemented in Precision X1 1.0.7. This driver restricts access to its device object via its security descriptor.

Dit gebeurt overigens niet alleen bij Defender, o.a. Avast! meldt dit al meerdere jaren.

[Neelon]

Is er voor die exploit lokale toegang nodig, of kan dat ook remote gedaan worden? Heb er al eens naar gezocht, maar ik heb niks sluitends kunnen vinden.

Windows Defender heeft deze bij mij nog nooit geflagged in al de jaren dat ik de software gebruik.

[CriticalHit_NL]

Ze hebben het vooralsnog over een local privilege escalation of dat op een of andere manier remote gedaan kan worden lijkt er vooralsnog niet op. Maar het opent uiteraard wel een deur voor malafide software die zich lokaal weet te draaien om er misbruik van te maken.

Hoewel de CVE natuurlijk EVGA benoemd weten de AVs echt wel dat er iets niet klopt aan deze kernel drivers en daar dus ook adequaat op waarschuwen.

[lenwar]

Maar dat is al vervelend genoeg. Je hoeft maar een suf ding op je computer te hebben en dan kan er privilege escalation gedaan worden via dat mechanisme.

[Admiral Freebee]

Volgens mij is er nog altijd lokale toegang nodig maar dit betekent niet fysieke toegang tot je computer. Een vaag stukje software kan al genoeg zijn.

En dat kan op je pc komen door een moment van oplettendheid of bij een update van software van een bonafide leverancier waarbij de keten toch geïnfecteerd geraakt is.

Voor mij genoeg om Fan Control voorlopig te mijden ook al snap ik dat het oplossen veel effort en geld kost.

[C00P]

En is er een goed alternatief voor dit mooie stukje software?

[B_FORCE]

sja, een heel behendig flexibel slangenmens kan ook zonder problemen door het toiletraampje naar binnen.
Levensgevaarlijk, want dan kan alles zomaar gestolen worden!!!

Toch laten veel mensen dat toiletraampje maar open.

Het oude slot van de achterdeur voldoet eigenlijk ook niet meer aan de nieuwste veiligheidsstandaarden en een professioneel inbreker heeft dat ding ook open binnen 5 minuten.

Sorry, maar dit is problemen overdrijven van de hoogste vorm.
In dit geval zal de digitale inbreker namelijk eerst het bestaan van een PC moeten weten (is te doen via malware), dan actie ondernemen op een moment waarop dat kan, en dan dan ook toevallig net weten dat iemand precies Fan Control heeft geïnstalleerd en dit misbruikt kan worden.
Om vervolgens nog niet eens weten of er überhaupt iets te halen valt.

Inbreken ed is en blijft nogsteeds kansberekening icm kosten-baten.
Vandaar dat veel mensen op het platteland de deur niet eens op slot doen.

[CriticalHit_NL]

Het is niet ongewoon dat er bij een gerenommeerd software-bedrijf wordt ingebroken dan wel certificaten worden misbruikt om eigen software als valide te doen aanmerken, men die dan dit vanuit de officiele bron bemachtigd wat heimelijk besmet is geraakt, zulke dingen gebeuren, al is de kans dat dit specifiek wordt uitgebuit kleiner is.

Het zal er wel voor zorgen dat veel oudere software die hierop leunen (en vaak geen updates krijgen) daardoor wel kapot gaan, je zou ook liever de kernel-space ongeroerd laten mijn inziens voor het draaien van user-software en ik weet niet in hoeverre het haalbaar is de hardware op dit niveau zonder kernel-toegang aan te sturen is.

[emphy]

sja, een heel behendig flexibel slangenmens kan ook zonder problemen door het toiletraampje naar binnen. Levensgevaarlijk, want dan kan alles zomaar gestolen worden!!!

Toch laten veel mensen dat toiletraampje maar open.

Het oude slot van de achterdeur voldoet eigenlijk ook niet meer aan de nieuwste veiligheidsstandaarden en een professioneel inbreker heeft dat ding ook open binnen 5 minuten.

Bij mijn ouders kon het toiletraampje niet eens op slot. Let op de verleden tijd -- als het kalf verdronken is dempt men de put, en het betreffende raampje kan nu enkel op een kiertje.

Oftewel: dat argument werkt bij mij de andere kant op. Helemaal omdat de gemiddelde pc potentieel bereikbaar is door alle digitale slangenmensen van de wereld, waar dat bij een huis beperkt is tot de slangenmensen die fysiek in de buurt komen.

[RAHL66]

"Microsoft was aware of this vulnerability and started tightening rules long ago. It also notified respective vendors about an upcoming full blocking of this driver. Initially it was planned to happen in 2024, then Jan'25, and now it seems they finally did it.
There's no other way around other than rewriting the driver from scratch to be reliable, robust and secure."

https://github.com/Rem0o/...6#issuecomment-2713558302

[emphy]

En het heeft een leuk vervolg:

But there may be a simpler alternative: why not fix the vulnerability in WinRing0 itself? To my surprise, three developers tell me that WinRing0 has already been patched, but the open source community doesn’t believe they can afford to get a new version signed by Microsoft — and without Microsoft’s digital signature, Windows won’t let users install it to begin with.
...
But there is some hope. Prebuilt gaming PC manufacturer iBuyPower, whose Hyte Nexus monitoring software also uses WinRing0 and got flagged by Windows Defender, tells The Verge it will endeavor to get an updated WinRing0 signed — and give the results back to developers.

Bron: https://www.theverge.com/...nitoring-alert-quarantine

[Reactie gewijzigd door emphy op 14 maart 2025 04:12]

[CoconutMilk]

Worden x870 moederborden ondertussen al ondersteund?