Nightmare Eclipseが、CrowdStrike、Nvidia、Avastのゼロデイエクスプロイトを公開

セキュリティ研究者「Nightmare Eclipse」が、Avast、CrowdStrike、Nvidiaの各製品を標的とする3件のゼロデイエクスプロイトを公開しました。

Chaotic Eclipse、Infinite Nightmare、MSNightmareといった別名でも知られるこの研究者は、Microsoft製品を標的とした一連のゼロデイエクスプロイトで名を上げましたが、最近は他のベンダーにも標的を広げています。

8月下旬、Nightmare EclipseはKasperskyのエンドポイントセキュリティ製品における権限昇格ゼロデイを公開しました。HardBreacherと名付けられたこのエクスプロイトは、Kasperskyにより8月31日にパッチが適用されています。

先週の短期間のうちに、Nightmare Eclipseは新たに3件のゼロデイエクスプロイトを公開しました。それぞれPrettyPrague、FalconFlank、GreenSectionと名付けられています。

この研究者によれば、PrettyPragueの概念実証（PoC）コードはAvastのサンドボックスを標的とし、フルシステム権限でシェルを起動するもので、AVGやNortonを含む他のGenDigital製品にも影響する可能性があるとしています。

「Genは最近、Avast Antivirusを含む一部のGen製品に、攻撃者がシステム権限を昇格できる脆弱性が存在することを把握しました。当社は直ちにセキュリティ対応手順を開始し、問題を修正しました。当社はあらゆるセキュリティ問題を重大視しており、保護を確実にするため、ユーザーには製品を最新の状態に保つよう呼びかけています」と、GenDigitalの広報担当者はSecurityWeekの取材に対し回答しています。

この研究者によれば、FalconFlankは、CrowdStrike Falcon SensorのOffice悪意あるマクロ修復機能にあるバグを悪用し、権限昇格を行うものだとしています。

「当社はこれらの主張について現在積極的に調査を進めており、顧客の皆様には『Microsoft Office File Suspicious Macro Removal』のWindowsポリシー設定を無効化するよう推奨しています。お客様は引き続き、Microsoft Officeファイル向けのクラウド型アンチマルウェア設定によって保護されています。詳細はCrowdStrikeサポートポータル内のFalconFlank Tech Alertをご参照ください」と、CrowdStrikeはSecurityWeekに対して述べています。

Nightmare Eclipseによれば、GreenSectionエクスプロイトは、複数のNvidiaユーザーモードコンポーネントで共有されるグローバルメモリセクションに影響する範囲外メモリ書き込み（out-of-bounds memory write）を標的としています。

「このバグは直ちにSYSTEM権限を取得できるわけではありませんが、ユーザー間の境界を容易に越えて悪用したり、dwm.exeプロセスを侵害したりすることも可能です。深くは調査していませんが、誰かがこれを完全なエクスプロイトに仕上げてくれるのを見られたら嬉しく思います」と、Nightmare Eclipseは述べています。

「当社は、Windows向け一部のNVIDIA GPUディスプレイドライバーコンポーネントで使用される共有メモリセクションに対する、不適切なアクセス制御を示す概念実証についての報告を把握しています。NVIDIAは、当社の確立されたセキュリティおよび製品エンジニアリングプロセスを通じて、報告された挙動を精査しています。NVIDIAはこの種の報告を重大視しており、根本原因、影響を受ける構成、適切な対応策の特定に向けて積極的に調査を進めています」と、Nvidiaの広報担当者は述べています。

セキュリティ研究者のKevin Beaumont氏は先週後半、Avast、CrowdStrike、Kasperskyの各エクスプロイトが実際に機能することを確認したと述べています。

*Nvidiaからの声明を追記して更新