ThreatFire System Monitor（<=v4.7.0.53）のカーネルモード TfSysMon.sys コンポーネントに、非特権ユーザーがカーネルモードの権限で任意のプロセス終了を実行できるようにする脆弱性が発見されました。その結果、PPL および保護されたシステムプロセスは強制的に停止される可能性があり、これにはアンチマルウェア、EDR ソリューション、エージェント型クライアントなどが含まれますが、これらに限定されません。これは、ローカルでの EDR Bypass と Denial of Service の両方を引き起こす可能性があります。
上記のように、このドライバーへの HANDLE を開くことができる者とできない者を制限する適切な DACL が欠如しているため、非管理者を含む低特権ユーザーは、脆弱なドライバーを介してカーネル権限で PPL やその他の保護されたプロセスを自由に終了させたり、ローカルなサービス拒否を引き起こしたりすることができます。
開示時点では、このバージョンのドライバーは Microsoft のブロック済みドライバーリスト に含まれていないようであり、脅威アクターによる BYOVD シナリオで悪用される可能性が依然としてあります。さらに、ドライバーのデジタル署名は有効なまま取り消されていないようです。
