研究者、CrowdStrikeの権限昇格ゼロデイ脆弱性を公開

あるセキュリティ研究者が、CrowdStrikeに存在するとみられる権限昇格ゼロデイエクスプロイトの詳細を公開しました。

オンライン上で「Nightmare Eclipse」(別名Infinite Nightmare、MSNightmare)を名乗るこの人物は、9月3日にGitHubへ詳細を投稿しました。

「FalconFlankは、CrowdStrike Falcon Sensorの『Officeの悪意あるマクロの修復』機能を悪用するゼロデイ権限昇格の手法です。もちろん、これを公開する頃にはCrowdStrikeはすでに検知ルールを用意しているはずなので、試すには除外設定に追加するか、PoCを難読化してdllのロード手法を変更する必要があります」と同氏は記しています。

「現時点では、完全に更新されたWindows 11 25H2 / Windows Server 2025上で、CrowdStrike Falcon – Phase 3 Optimal Protectionが動作し、かつ『Microsoft Office file malicious macro removal(Microsoft Officeファイルの悪意あるマクロの除去)』が有効な環境で機能します」

セキュリティ製品におけるゼロデイ脆弱性についての関連記事: 攻撃者、SonicWallの新たな2件のゼロデイ脆弱性を連鎖悪用。

CrowdStrikeは声明を発表し、同社が事案を調査する間、顧客に対して「Microsoft Office File Suspicious Macro Removal」というWindowsのポリシー設定を無効化するよう呼びかけました。

「お客様は引き続き、Microsoft Officeファイル向けのクラウドアンチマルウェア設定によって保護されています」と同社は付け加えました。「詳細については、CrowdStriveサポートポータル内のFalconFlankに関するテクニカルアラートをご参照いただくようお客様にご案内しています」

このポータルは専用アカウントを持つ顧客のみがアクセス可能で、このバグに対してはまだCVEが割り当てられていません。

続く悪夢

セキュリティ研究者のKevin Beaumont氏は、FalconFlankが実際に機能することを確認するとともに、同じ研究者がKasperskyおよびAvastを標的としたゼロデイ脆弱性も公表していたことを指摘しました。

「セキュリティ研究者の間では公然の秘密なのですが、多くのサイバーセキュリティ製品はサイバーセキュリティという観点で見るとお粗末なものです」と同氏はMastodonに投稿しています。

「ランサムウェアグループの侵入経路として上位に挙げられるVPN製品から、../..形式のパストラバーサルの不具合、PCをブリックさせてしまいEDR製品でありながら容易にバイパス・悪用できてしまうものまで……。まったく油断のならない世界です」

CybaVerseのCEOであるOliver Spence氏も、セキュリティ製品自体が組織にとってのリスクになり得るという見解に同意しました。

「この問題をどう解決すべきでしょうか。ベンダーは自社製品の安全性を確保する責任をこれまで以上に負い、脆弱性を継続的にテストし、迅速に修正していく必要があります」と同氏は主張しています。

「そうしなければ、顧客は自らを守るために依存している製品そのものに潜むこうした脆弱性によって、金銭的・運用的な代償を払い続けることになるでしょう」

NightmareEclipse氏は以前にも、Linuxカーネル、Libssh2、FFmpeg、Gogs、Giteaなど、オープンソースプロジェクトにおける30件を超える概念実証(PoC)エクスプロイトを一括公開した「Exploitarium」の件で注目を集めていました。