FalconFlankと名付けられた概念実証(PoC)コードが、CrowdStrike Falcon Sensor for Windowsに存在するこれまで公表されていなかった権限昇格の問題を悪用すると主張しています。
この脆弱性とされるものは、Microsoft Officeの悪意あるマクロに対するFalconの修復ワークフローを悪用するとされており、権限の低いユーザーが完全にパッチ適用済みのWindowsエンドポイント上で昇格アクセスを取得できる可能性があるとしています。
MSNightmareによると、FalconFlankは「Microsoft Officeファイルの悪意あるマクロ除去」機能を有効にした状態でCrowdStrike Falconを稼働させているデバイスに影響します。
この研究者は、完全に更新済みのWindows 11 25H2およびWindows Server 2025システムに対し、CrowdStrike FalconのPhase 3 Optimal Protectionポリシーを設定した環境でテストに成功したと主張しています。
この主張は独立した検証を受けておらず、本記事執筆時点でCrowdStrikeがこの脆弱性の存在を公に確認したり、CVE識別子を割り当てたり、セキュリティ勧告を発行したりした形跡はありません。
したがって、各組織はベンダーまたは独立した研究者によるさらなる技術的検証が得られるまで、FalconFlankの報告を未検証のセキュリティ主張として扱うべきです。
報告されている問題の核心は、Falcon Sensorが悪意あるOfficeマクロを検知し修復する際の挙動にあります。
エンドポイント検知・対応(EDR)製品は、標準ユーザーがアクセスできない可能性のある不審なファイルを検査・隔離・変更・削除する必要があるため、しばしば昇格したシステム権限で修復作業を行います。
FalconFlankは、この特権を持つ修復経路を悪用してセンサーの動作に影響を与えると主張されています。
もし悪用が可能であれば、すでに低権限でローカルコード実行を確保している攻撃者が、エンドポイントセキュリティ製品自体を利用してより高い権限で処理を実行できるようになる可能性があります。
公開されている主張に基づく限り、これによって未認証のネットワークアクセスがデバイスに与えられるわけではありません。むしろ、フィッシングや悪意あるダウンロード、侵害された認証情報、その他のローカル実行手段によって初期の足がかりが確立された後に、価値を持つ可能性があります。
MSNightmareは、CrowdStrikeの検知機能がこのPoCを検出する可能性があり、テストには検知を回避するための除外設定や変更が必要になる場合があると述べています。
セキュリティチームは、未検証のエクスプロイトをテストするためにFalconの保護機能を無効化したり、除外設定を追加したりすべきではありません。そうした行為はエンドポイント防御を弱め、不必要なリスクをもたらす可能性があります。
エンドポイントセキュリティセンサーにおけるローカル権限昇格の脆弱性が確認された場合、重大な影響が生じる可能性があります。
攻撃者は、エンドポイントを侵害した後、管理者権限やSYSTEM権限レベルのアクセスを求めることが一般的です。昇格した権限があれば、認証情報の窃取、セキュリティツールの改ざん、永続化、横展開、ランサムウェアの展開が可能になるためです。
潜在的な影響範囲は、Officeの悪意あるマクロ除去機能が有効になっている環境に限定される可能性があります。
管理者はFalconのポリシー設定を確認し、その保護設定を使用しているエンドポイントを特定し、センサーのバージョン、Windowsの更新プログラム、Officeのセキュリティ制御が最新の状態に保たれていることを確認する必要があります。
また各組織は、確認や緩和策に関する情報が得られないか、CrowdStrikeのサポートポータル、リリースノート、脅威に関する勧告、顧客向け通知を注視すべきです。
さらなる証拠が得られるまで、防御側は不審な権限変更、異常なOfficeの子プロセス、想定外のファイル修復活動、Falcon設定を変更しようとする試みの検知に重点を置くべきです。
FalconFlankのPoCを本番環境で展開・実行しないでください。CrowdStrikeから具体的な指示がない限り、Falconの改ざん防止機能とマクロ修復設定はそのまま維持してください。ローカル管理者権限を制限し、権限昇格イベントを監視してください。
インターネット由来のファイルからのマクロをブロックすることを含め、Officeのマクロ制御を見直してください。Officeアプリケーション、スクリプトインタープリター、DLLの読み込み、エンドポイントセキュリティサービスとのやり取りに関わる予期しない活動がないか調査してください。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査力を強化する
翻訳元: https://cyberpress.org/falconflank-poc-claims-crowdstrike-falcon-zero-day/
