d7ead/cve-2025-61156Il controllo degli accessi non sicuro nel driver TfSysMon.sys di ThreatFire System Monitor consente la terminazione di processi non privilegiati con privilegi di kernel, permettendo il bypass dell'EDR e un DoS locale.
È stata scoperta una vulnerabilità nel componente in modalità kernel TfSysMon.sys di ThreatFire System Monitor (<=v4.7.0.53) che consente a utenti non privilegiati di terminare arbitrariamente processi con privilegi di modalità kernel. Di conseguenza, i processi PPL e i processi di sistema protetti possono essere arrestati forzatamente, inclusi, ma non limitati a, antimalware, soluzioni EDR, client agentici e così via. Ciò può comportare sia un EDR Bypass locale sia un Denial of Service.
Come menzionato sopra, a causa della mancanza di un DACL appropriato che limiti l'accesso a chi può e chi non può aprire un HANDLE a questo driver, gli utenti con privilegi bassi, inclusi i non amministratori, possono liberamente terminare i processi PPL e altri processi protetti, o causare un denial of service locale, con privilegi kernel tramite il driver vulnerabile.
Al momento della divulgazione, questa versione del driver non risulta inclusa nell'elenco dei driver bloccati di Microsoft e può ancora essere sfruttata da attori delle minacce in scenari BYOVD. Inoltre, la firma digitale del driver risulta ancora valida e non revocata.
