ig-labs/edr-alpc-block-pocBlocco degli agenti EDR di Windows registrando un proprio oggetto IPC nel namespace del Object Manager (CVE-2023-3280, CVE-2024-5909, CVE-2024-20671)
Blocco degli agenti EDR Windows registrando un proprio oggetto IPC nello spazio dei nomi del Object Manager (CVE-2023-3280, CVE-2024-5909, CVE-2024-20671 e altre senza CVE assegnate)
Questo repository contiene codice di esempio che dimostra come sfruttare vulnerabilità DoS presenti nella maggior parte degli agenti EDR Windows testati. Ciò può essere ottenuto da un utente con bassi privilegi.
Il post del blog corrispondente che descrive la vulnerabilità si trova qui: IG-Labs Blog
La maggior parte degli agenti EDR Windows si basa sulla comunicazione inter-processo (IPC) tra i propri vari componenti. Se un utente malintenzionato registra un oggetto specifico (ad esempio, \RPC Control\Palo-Alto-Networks-Traps-DB-Rpc per Cortex) prima che l'agente EDR si inizializzi, i componenti in modalità utente dell'EDR andranno in crash all'avvio. Ciò rende l'EDR completamente inattivo.
Per sfruttare questa vulnerabilità è necessario un riavvio del sistema. È anche potenzialmente sfruttabile durante gli aggiornamenti dell'EDR.
Il codice di esempio fornito dimostra la vulnerabilità CVE-2023-3280.
Invece delle porte ALPC, è possibile utilizzare anche Named Pipes per ottenere lo stesso risultato. È probabile che esistano altre vulnerabilità non corrette di questo tipo, poiché non abbiamo potuto testare tutti i fornitori di EDR.
