RSA NetWitness Platform EDR Agent / 不適切なアクセス制御 - コード実行
EDRエージェントのセキュリティ監査中に、標準ユーザー権限のみで安全でないWin32メモリイベントオブジェクトを標的にしてサービスを改ざんする新たなベクターを発見しました。エクスプロイトを管理者として実行する場合、サービス構成を乗っ取ることも可能です。
CVE-2022-47529により、ローカルユーザーはEndpoint WindowsエージェントがイベントをSIEMに送信するのを停止したり、エージェントにユーザー指定のコマンドを実行させたりすることができます。
NetWitness Platform 12.xまでのEndpoint Windowsエージェントにおける安全でないWin32メモリオブジェクトにより、ローカルおよび管理Windowsユーザーアカウントがエンドポイントエージェントサービスの構成を変更できます： サービスを完全に無効にするか、ユーザー指定のコードやコマンドを実行させることで、ACL変更を介して改ざん防止機能をバイパスします。
興味深いことに、このエージェントは発見および報告の数ヶ月前の2022-01-05 17:24:32 UTCにVirusTotalにアップロードされていました。
SHA-256 770005f9b2333bf713ec533ef1efd2b65083a5cfb9f8cbb805ccb2eba423cc3d LANDeskService.exe
[Network Access] ローカル
