CVE-2022-44721 CrowdStrike Falcon アンインストーラー

CrowdStrike Falcon は、クラウドベースのエンドポイント検出・対応（EDR）およびアンチウイルス（AV）ソリューションです。各エンドデバイスにはカーネルレベルの管理センサーが展開され、クラウドベースの機能を利用します。センサーはアンインストール保護付きで構成できます。これにより、ワンタイムで生成されたトークンなしではエンドデバイスから CrowdStrike Falcon センサーをアンインストールできないようになっています。

この脆弱性を悪用すると、管理者権限を持つ攻撃者が Windows エンドデバイス上のトークンチェックをバイパスし、適切な認証なしにセンサーをデバイスからアンインストールできるようになり、結果としてデバイスの EDR および AV 保護を無効化できます。

影響を受けるセンサーバージョン: 6.44.15806

タイムライン

22/08/2022: バージョン 6.31.14505 および 6.42.15210 に影響する CVE-2022-2841 の公開後、Deda Cloud Cybersecurity チームはパッチ適用済みリリースが依然として影響を受けるかどうかを確認する定例作業を開始しました
25/08/2022: CVE-2022-2841 の PoC は依然としてレースコンディションに使用できますが、バージョン 6.44.15806 では動作しません。レースコンディションを高速化するために PoC を少し変更したところ、セキュリティトークンなしで修正済みセンサーをアンインストールできました
25/08/2022: また、より簡単な Powershell 版のエクスプロイトも実装しました
25/08/2022: 最初の Powershell PoC（Falcon-6.44.15806-uninstall.ps1）を CrowdStrike サポートチームに送付しました
11/11/2022: エクスプロイトのソースコード（Falcon-6.44.15806-uninstall.cpp）と証明（PoC ビデオ）を CrowdStrike サポートチームに送付しました
29/11/2022: CrowdStrike サポートチームが、すでにホットフィックス済みの 6.44.15806 センサーの脆弱性を認め、新しい CVE の公開を承認しました

CrowdStrike サポートチームからの受領確認メールの抜粋

...
As the referenced CVE was not released in coordination with CrowdStrike, it may be missing some details, however our customers 
have been kept up to date on our remediation efforts and the affected sensor versions, including a release of the hotfix for v6.44.15806. 
Please see the relevant tech alerts explaining the nature of this issue and the fix releases at 
https://supportportal.crowdstrike.com/s/article/Tech-Alert-Uninstall-Protection-Bug-in-Falcon-Sensor-for-Windows

Therefore, I believe you can go ahead and publish the CVE adding the impacted Sensor versions 
we were able to test and confirm they are affected.
...

メールに記載されているとおり、CrowdStrike はすでに影響を受けるバージョンにパッチを適用済みです。

PoC の主な変更点

# edit #1
Line 111: std::string cmd = "cmd /c start msiexec /x " + guid;

# edit #2
Line 67: if (g_msiexec_instance_count == 3 || g_msiexec_instance_count == 5) {

実行手順

Visual Studio で Falcon-6.44.15806-uninstall.cpp をコンパイルします
cmd で管理者として実行します:

.\Falcon-6.44.15806-uninstall.exe "C:\ProgramData\Package Cache\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}v6.44.15806\CsAgent.msi"

表示されるすべての要求で「Yes」または「Ok」を押します（素早く！）
お楽しみください

スクリーンショット

テストマシン名: MOANA ポリシー: EXTRA AGGRESSIVE（すべてのオプション有効） cve

アンインストール中... CVE1

アンインストール完了（CrowdStrike ディレクトリ内にファイルはもうありません）- デーモンがメモリ上でまだアクティブかつ実行中の場合は再起動が必要です（検出が生成されます） CVE2

Moana の結果はクラウド経由では到達不能 CVE3

lsass.exe のダンプ cve4

著作者

Fortunato [fox] Lodari, Raffaele Nacca, Walter Oberacher, Davide Bianchin, Luca Bernardi @ Deda Cloud Cybersecurity Team

CVE-2022-44721-CsFalconUninstaller

人気