d7ead/cve-2025-61156Unsichere Zugriffskontrolle im TfSysMon.sys-Treiber des ThreatFire System Monitor erlaubt es unprivilegierten Prozessen, Prozesse mit Kernel-Berechtigungen zu beenden, was einen EDR-Bypass und lokale DoS-Angriffe ermöglicht.
Eine Schwachstelle wurde in der Kernel-Mode-Komponente TfSysMon.sys des ThreatFire System Monitor (<=v4.7.0.53) entdeckt, die es unprivilegierten Benutzern ermöglicht, Prozesse mit Kernel-Mode-Berechtigungen beliebig zu beenden. Infolgedessen können PPL- und geschützte Systemprozesse zwangsweise gestoppt werden, einschließlich, aber nicht beschränkt auf Anti-Malware, EDR-Lösungen, Agenten-Clients usw. Dies kann sowohl zu lokalem EDR Bypass als auch zu Denial of Service führen.
Wie oben erwähnt, können aufgrund des Fehlens einer ordnungsgemäßen DACL, die einschränkt, wer ein HANDLE zu diesem Treiber öffnen darf und wer nicht, Benutzer mit niedrigen Berechtigungen, einschließlich Nicht-Administratoren, über den anfälligen Treiber mit Kernel-Berechtigungen frei PPL- und andere geschützte Prozesse beenden oder einen lokalen Denial of Service verursachen.
Zum Zeitpunkt der Offenlegung scheint diese Version des Treibers nicht in Microsofts Liste blockierter Treiber enthalten zu sein und kann von Bedrohungsakteuren in BYOVD-Szenarien weiterhin missbraucht werden. Darüber hinaus scheint die digitale Signatur des Treibers weiterhin gültig und nicht widerrufen zu sein.
