d7ead/cve-2025-61156El control de acceso inseguro en el controlador TfSysMon.sys de ThreatFire System Monitor permite la terminación de procesos sin privilegios con privilegios de kernel, lo que posibilita la evasión de EDR y una denegación de servicio local.
Se descubrió una vulnerabilidad en el componente TfSysMon.sys del modo kernel de ThreatFire System Monitor (<=v4.7.0.53) que permite a usuarios sin privilegios realizar la terminación arbitraria de procesos con privilegios de modo kernel. Como resultado, los procesos PPL y los procesos protegidos del sistema pueden detenerse por la fuerza, incluyendo, entre otros, soluciones antimalware, EDR, clientes agénticos, etc. Esto puede resultar tanto en un Bypass de EDR local como en una Denegación de Servicio.
Como se mencionó anteriormente, debido a la falta de una DACL adecuada que limite el acceso a quién puede y quién no puede abrir un HANDLE a este controlador, los usuarios con bajos privilegios, incluidos los no administradores, pueden terminar libremente procesos PPL y otros procesos protegidos, o causar una denegación de servicio local, con privilegios de kernel a través del controlador vulnerable.
Al momento de la divulgación, esta versión del controlador no parece estar incluida en la Lista de controladores bloqueados de Microsoft, y aún puede ser abusada por actores de amenazas en escenarios BYOVD. Además, la firma digital del controlador parece seguir siendo válida y no revocada.
