El nuevo «FalconFlank» de CrowdStrike, un fallo de día cero, otorga privilegios de SISTEMA

Un in­ves­ti­ga­dor de se­gu­ri­dad bajo el seu­dó­ni­mo de "Night­ma­re Eclip­se" pu­bli­có un ex­ploit de día cero para CrowdS­tri­ke Fal­con, de­no­mi­na­do "Fal­con­Flank", el cual per­mi­te es­ca­lar pri­vi­le­gios en sis­te­mas ope­ra­ti­vos Win­dows ac­tua­li­za­dos. La vul­ne­ra­bi­li­dad im­pac­ta tanto en equi­pos con ver­sio­nes re­cien­tes de Win­dows 11 y Win­dows Ser­ver como en la pla­ta­for­ma de se­gu­ri­dad de end­points de CrowdS­tri­ke. El ata­que logra abrir una línea de co­man­dos con pri­vi­le­gios de SYSTEM me­dian­te la ex­plo­ta­ción de la fun­ción de re­me­dia­ción de ma­cros ma­li­cio­sas de Of­fi­ce en el sen­sor de CrowdS­tri­ke.

Ante esta si­tua­ción, un re­pre­sen­tan­te de la com­pa­ñía de­cla­ró que se en­cuen­tran in­ves­ti­gan­do los se­ña­la­mien­tos y re­co­men­dó a los usua­rios des­ac­ti­var la di­rec­ti­va de Win­dows para Of­fi­ce re­la­cio­na­da con la eli­mi­na­ción de ar­chi­vos con ma­cros sos­pe­cho­sas. Asi­mis­mo, la em­pre­sa in­di­có que sus clien­tes con­ti­núan pro­te­gi­dos me­dian­te la con­fi­gu­ra­ción de pro­tec­ción en la nube con­tra malwa­re para ar­chi­vos de Mi­cro­soft Of­fi­ce, y se­ña­ló la exis­ten­cia de una aler­ta téc­ni­ca en su por­tal de so­por­te, aun­que no res­pon­die­ron si ya se le ha asig­na­do un iden­ti­fi­ca­dor CVE a la falla.

Du­ran­te la misma se­ma­na, el in­ves­ti­ga­dor tam­bién dio a co­no­cer vul­ne­ra­bi­li­da­des de día cero orien­ta­das a la ele­va­ción de pri­vi­le­gios en Kas­persky An­ti­vi­rus para End­point y Gen­Di­gi­tal Avast An­ti­vi­rus, ade­más de un fallo de de­ne­ga­ción de ser­vi­cio en Nvi­dia que pro­vo­ca caí­das en el sis­te­ma. La au­ten­ti­ci­dad y efec­ti­vi­dad de estos ex­ploits de es­ca­la­mien­to de pri­vi­le­gios fue­ron ve­ri­fi­ca­das por un ex­per­to en ci­ber­se­gu­ri­dad. Por otro lado, este in­ves­ti­ga­dor ha re­ve­la­do pre­via­men­te múl­ti­ples fa­llos en pro­duc­tos de Mi­cro­soft desde abril, de los cua­les al­gu­nos ya han sido co­rre­gi­dos mien­tras que otros con­ti­núan sin un par­che ofi­cial, an­te­ce­den­tes que en su mo­men­to ge­ne­ra­ron ad­ver­ten­cias de po­si­bles ac­cio­nes le­ga­les por parte de la com­pa­ñía tec­no­ló­gi­ca.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el con­te­ni­do com­ple­to del re­por­te men­cio­na­do al final.