FalconFlank deckt Risiko der Privilegieneskalation bei CrowdStrike Falcon auf

Zusammenfassung

Der Sicherheitsforscher Chaotic Eclipse hat FalconFlank veröffentlicht, einen Zero-Day-Priviligeskalations-Exploit, der den CrowdStrike Falcon-Sensor durch den Missbrauch der schädlichen Makro-Behebung angreift. Die Sicherheitslücke kann es Angreifern ermöglichen, erhöhte Privilegien auf Windows 11 und Windows Server 2025 zu erlangen. Der Forscher veröffentlichte auch ShieldBreak, einen Microsoft Defender Zero-Day, der als CVE-2026-69414 verfolgt wird und die Ausführung beliebigen Codes mit SYSTEM-Rechten ermöglicht.

Untersuchung

Der Bericht beschreibt mehrere lokale Priviligeskalations-Sicherheitslücken (LPE), die vom selben Forscher entdeckt wurden. Die Analyse von ShieldBreak deckte eine komplexe Exploit-Kette auf, die Cloud Files, die Objekt-Manager-Namensraum-Manipulation und ein Zeitrennen innerhalb des Remediationsprozesses umfasst. Der Forscher zeigte auch HardBreacher, eine Schwachstelle in der Kaspersky Endpoint Security, die die Übernahme eines privilegierten UI-Prozesses ermöglicht.

Abschwächung

Für FalconFlank müssen Verteidiger möglicherweise Ausschlüsse überprüfen und die Erkennungslogik aktualisieren, um obfuskierte DLL-Ladetechniken zu identifizieren. Für Microsoft Defender ist derzeit kein Patch verfügbar, da das Problem weiterhin ein Zero-Day ist. Organisationen sollten auch verdächtige oder unbefugte DLL-Schreibvorgänge in sensiblen Windows-Systemverzeichnissen überwachen.

Reaktion

Wenn unbefugte DLL-Erstellung in C:WindowsSystem32erkannt wird, sollten Incident Responder den betroffenen Host sofort isolieren. Teams sollten die kürzliche makrobezogene Aktivität prüfen und ungewöhnliche Windows-Fehlerberichterstattungsaufgaben oder unerwartete Dateischreibvorgänge in geschützten Systemordnern untersuchen. Priviligeskalationsversuche, die von Endpoint-Sicherheitsprozessen ausgehen, sollten ebenfalls als hochpriorisierte Aktivitäten behandelt werden.