リモートのWindowsホストにインストールされているCrowdStrike Falcon Sensorは、「Microsoft Officeファイルの悪意のあるマクロの削除」修復機能が有効になっているとき(フェーズ3:最適な保護ポリシー以上)、ローカルの権限昇格の脆弱性による影響を受けます。

認証されたローカルの攻撃者がこれを悪用する可能性があります。

  - OLE 複合ドキュメント(マクロベイトファイル)を %TEMP% 下のステージングディレクトリに書き込み、Falcon のシステムレベルのマクロ修復を発生させる。

  - oplock を使用して TOCTOU 競合ウィンドウの時間を計り、ステージング v1.0 サブディレクトリを削除し、保留中のファイル操作を C:\\Windows\System32\\WindowsPowerShell\\v1.0\\ にリダイレクトする NTFS マウントポイント(IO_REPARSE_TAG_MOUNT_POINT)を配置します。

  - Falconのミニフィルター書き込みインターセプトをバイパスしながらC:\\Windows\System32\\WindowsPowerShell\\v1.0\\bcrypt.dllのアトミック上書きをコミットするTransacted NTFS(TXFS/CreateFileTransacted)を介して任意のDLLペイロードを配信します。

  - \\Microsoft\\Windows\Application Experience 下の MareBackup スケジュールタスクを介して SYSTEM レベルの DLL 実行をトリガーし、置き換えられたbcrypt.dllをロードします。

その結果、標準ユーザーアカウントからシステムレベルのコードがフル実行されます。

注意:Nessus は、この問題をテストしていませんが、その代わりに、脆弱なソフトウェアが存在することの検出に依存しています。
「Microsoft Office ファイルの悪意のあるマクロ削除」機能のポリシーの状態は、リモートで確認することができませんでした。検出結果は、Falcon ポリシーコンソールと照合して検証する必要があります。

検出

CrowdStrike Falcon センサーのローカル権限昇格(CVE-2026-40058 /FalconFlank)

high Nessus プラグイン ID 350271

バージョン 1.1