CrowdStrike Falcon センサーのローカル権限昇格 (CVE-2026-40058 /FalconFlank)

high Nessus プラグイン ID 350271

Language:

概要

リモート Windows ホストにインストールされたセキュリティ製品に、ローカル権限昇格の脆弱性があります。

説明

リモートのWindowsホストにインストールされているCrowdStrike Falcon Sensorは、「Microsoft Officeファイルの悪意のあるマクロの削除」修復機能が有効になっているとき(フェーズ3: 最適な保護ポリシー以上)、ローカルの権限昇格の脆弱性による影響を受けます。

認証済みのローカルの攻撃者は、次の方法でこれを悪用できます

- OLE 複合ドキュメント(マクロベイトファイル)を %TEMP% 下のステージングディレクトリに書き込み、Falcon のシステムレベルのマクロ修復を発生させる。

- oplock を使用して TOCTOU の競合ウィンドウのタイミングを計り、ステージング用の v1.0 サブディレクトリを削除したうえで、保留中のファイル操作を C:\Windows\System32\WindowsPowerShell\v1.0\ へリダイレクトする NTFS マウントポイント (IO_REPARSE_TAG_MOUNT_POINT) を設置する。

- Transacted NTFS (TXFS / CreateFileTransacted) を介して任意の DLL ペイロードを配信し、Falcon のミニフィルターによる書き込みインターセプトを回避しながら、C:\Windows\System32\WindowsPowerShell\v1.0\bcrypt.dll をアトミックに上書きするトランザクションをコミットする。

- MareBackup スケジュールタスクを介して SYSTEM レベルの DLL 実行をトリガーする。このタスクは \\Microsoft\\Windows\\Application Experience にあり、置き換えられた bcrypt.dll をロードする。

その結果、標準ユーザーアカウントからシステムレベルのコードがフル実行されます。

注意: Nessus は、この問題をテストしていませんが、その代わりに、脆弱なソフトウェアが存在することの検出に依存しています。
「Microsoft Office ファイルの悪意のあるマクロ削除」機能のポリシーの状態は、リモートで確認することができませんでした。検出結果は、Falcon ポリシーコンソールと照合して検証する必要があります。