d7ead/cve-2025-61156ThreatFire System Monitor의 TfSysMon.sys 드라이버의 안전하지 않은 접근 제어로 인해 권한 없는 프로세스가 커널 권한으로 프로세스를 종료할 수 있으며, 이를 통해 EDR 우회 및 로컬 DoS(서비스 거부)가 가능합니다.
ThreatFire System Monitor (<=v4.7.0.53)의 커널 모드 TfSysMon.sys 구성 요소에서 권한이 없는 사용자가 커널 모드 권한으로 임의의 프로세스를 종료할 수 있게 해주는 취약점이 발견되었습니다. 그 결과 PPL 및 보호된 시스템 프로세스가 강제로 중지될 수 있으며, 여기에는 안티멀웨어, EDR 솔루션, 에이전트 클라이언트 등이 포함되지만 이에 국한되지 않습니다. 이는 로컬 EDR Bypass 및 Denial of Service를 초래할 수 있습니다.
위에서 언급했듯이, 이 드라이버에 대한 HANDLE을 열 수 있는 사용자를 제한하는 적절한 DACL이 없기 때문에, 관리자가 아닌 사용자를 포함한 낮은 권한의 사용자가 취약한 드라이버를 통해 커널 권한으로 PPL 및 기타 보호된 프로세스를 자유롭게 종료하거나 로컬 서비스 거부를 유발할 수 있습니다.
공개 시점 기준, 이 버전의 드라이버는 Microsoft의 차단 드라이버 목록에 포함되지 않은 것으로 보이며, BYOVD 시나리오에서 위협 행위자에 의해 여전히 악용될 수 있습니다. 또한 드라이버의 디지털 서명은 유효하고 취소되지 않은 상태로 유지되는 것으로 보입니다.
