Nightmare Eclipse、CrowdStrike・Nvidia・Avast向けゼロデイエクスプロイトを公開

Nightmare Eclipseとして知られるセキュリティ研究者が、Avast、CrowdStrike、Nvidiaの製品を標的とした3件のゼロデイエクスプロイトを公開しました。

この研究者はChaotic Eclipse、Infinite Nightmare、MSNightmareという名でも知られ、Microsoft製品を狙った一連のゼロデイエクスプロイトで有名になりましたが、最近では他のベンダーにも標的を広げています。

8月下旬、Nightmare EclipseはKasperskyのエンドポイントセキュリティ製品における権限昇格ゼロデイを公開しました。HardBreacherと名付けられたこのエクスプロイトは、8月31日にKasperskyによって修正されています。

先週、Nightmare Eclipseは短期間のうちに、PrettyPrague、FalconFlank、GreenSectionと名付けられた3件の新たなゼロデイエクスプロイトを公開しました。

PrettyPragueの概念実証(PoC)コードは、Avastのサンドボックスを標的として、システム権限をフルに持つシェルを起動するものだと研究者は述べています。また、AVGやNortonを含む他のGenDigital製品にも影響を及ぼす可能性があるとしています。

「GenはAvast Antivirusを含む一部のGen製品に影響を及ぼすセキュリティ脆弱性について、最近報告を受けました。この脆弱性は攻撃者がシステム権限を昇格させることを可能にするものです。当社は直ちにセキュリティ対応手続きを開始し、問題を修正しました。当社はあらゆるセキュリティ問題を真剣に受け止めており、ユーザーの皆様には保護を確実にするため製品を常に最新の状態に保つことをお勧めします」と、GenDigitalの広報担当者はSecurityWeekの取材に対して回答しています。

FalconFlankは、CrowdStrike Falcon SensorのOffice悪意あるマクロ修復機能に存在する不具合を悪用し、権限昇格を行うものだと研究者は述べています。

「当社はこれらの主張について現在積極的に調査を進めており、お客様にはMicrosoft Office File Suspicious Macro RemovalのWindowsポリシー設定を無効化するようお勧めします。お客様はCloud Anti-malware for Microsoft Office Files設定によって引き続き保護されています。詳細についてはCrowdStrikeサポートポータル内のFalconFlank Tech Alertをご参照ください」と、CrowdStrikeはSecurityWeekに対して回答しています。

GreenSectionエクスプロイトは、複数のNvidiaユーザーモードコンポーネントが共有するグローバルメモリセクションに対する範囲外メモリ書き込みを標的とするものだと、Nightmare Eclipseは述べています。

「この不具合は直ちにSYSTEM権限を取得するものではありませんが、ユーザー間の境界を容易に越えて利用したり、dwm.exeプロセスを侵害したりすることさえ可能です。私自身は深く掘り下げていませんが、誰かがこれを完全なエクスプロイトに仕上げてくれるのを見られたら嬉しいですね」と、Nightmare Eclipseは指摘しています。

セキュリティ研究者のKevin Beaumont氏は先週後半、Avast、CrowdStrike、Kasperskyのエクスプロイトが実際に機能することを確認したと述べています。

SecurityWeekはNvidiaに対し、このエクスプロイトに関するコメントを求めてメールを送っており、同社から回答があり次第、本記事を更新する予定です。