TL;DR
Rozwiązania EDR mają chronić system, ale FalconFlank pokazuje, jak superuprawniony komponent CrowdStrike Falcon można obrócić przeciwko niemu samemu. Winowajcą jest funkcja usuwania podejrzanych makr z dokumentów Office — klasyczny błąd TOCTOU w połączeniu z NTFS-owymi junctions i transakcjami plikowymi pozwala podmienić plik, na którym operuje uprzywilejowany proces Falcona, dokładnie między sprawdzeniem a użyciem. Efekt: zwykły użytkownik zdolny uruchomić kod na maszynie może wbić się na poziom SYSTEM.
CrowdStrike nie przydzielił temu numeru CVE i zaleca po prostu wyłączenie podatnej funkcji na Windows — ochrona przed złośliwymi makrami działa nadal, tylko innym mechanizmem. Nie ma doniesień o realnym wykorzystaniu, ale case jest pouczający dla każdego, kto projektuje komponenty bezpieczeństwa z wysokimi uprawnieniami: im więcej uprzywilejowany kod robi na danych kontrolowanych przez zwykłego użytkownika, tym łatwiej zamienia się z tarczy w furtkę.
Rozwiązania EDR mają zatrzymywać ataki, analizować podejrzane pliki i izolować zagrożenia. Trudno więc wyobrazić sobie bardziej niepokojący scenariusz niż taki, w którym jedna z fu...
Czytaj cały wpis u źródła// tagi
