Der unter dem Pseudonym “Nightmare Eclipse” auftretende Forscher hat einen bislang ungepatchten Fehler in CrowdStrike Falcon oeffentlich gemacht. Der Exploit mit dem Namen FalconFlank setzt an der Funktion des Falcon Sensors an, die schaedliche Office-Makros entfernt. Ueber diesen Weg laesst sich eine Kommandozeile mit SYSTEM-Rechten oeffnen.
“FalconFlank ist eine Zero-Day-Rechteausweitung, die die Bereinigung schaedlicher Office-Makros im CrowdStrike Falcon Sensor missbraucht”, erklaerte Nightmare Eclipse. Zum Zeitpunkt der Veroeffentlichung habe CrowdStrike bereits Erkennungen dafuer; wer testen wolle, muesse den Code entweder in die Ausschlussliste aufnehmen oder den Proof-of-Concept verschleiern und die Technik zum Laden der DLL aendern. “Derzeit funktioniert es auf einem vollstaendig aktualisierten Windows 11 25H2 beziehungsweise Windows Server 2025 mit CrowdStrike Falcon.”
Auf Nachfrage von BleepingComputer erklaerte ein Sprecher von CrowdStrike, man pruefe die Behauptungen des Forschers aktiv. Kunden sollten die Windows-Richtlinieneinstellung “Microsoft Office File Suspicious Macro Removal” deaktivieren. Der Schutz bleibe ueber die Einstellungen “Cloud Anti-malware for Microsoft Office Files” erhalten. Weitere Angaben verweisen auf eine technische Warnmeldung zu FalconFlank im Support-Portal des Herstellers.
Diese Warnmeldung ist allerdings nicht oeffentlich zugaenglich: Nur Kunden mit einem Konto im CrowdStrike-Support-Portal koennen sie einsehen. Auf eine zweite Anfrage von BleepingComputer nach einer Kopie des Dokuments sowie nach einer moeglicherweise vergebenen CVE-Nummer hat der Hersteller bislang nicht geantwortet.
FalconFlank ist nicht der einzige Fund dieser Woche. Nightmare Eclipse veroeffentlichte zudem Zero-Day-Exploits zur Rechteausweitung fuer Kaspersky Antivirus for Endpoint (“HardBreacher”) und GenDigital Avast Antivirus (“PrettyPrague”) sowie einen Denial-of-Service-Zero-Day fuer Nvidia (“GreenSection”), der das System zum Absturz bringt. Der Sicherheitsexperte Kevin Beaumont bestaetigte am Donnerstag, dass die in dieser Woche veroeffentlichten Rechteausweitungs-Exploits echt sind und funktionieren.
Seit April hat der Forscher darueber hinaus mehrere Zero-Days fuer Microsoft-Produkte offengelegt, darunter Microsoft Defender, BitLocker und verschiedene weitere Windows-Komponenten. Die Luecken sind unter den Namen LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend bekannt. LegacyHive, RoguePlanet, YellowKey, GreenPlasma und MiniPlasma wurden inzwischen behoben; die uebrigen Schwachstellen sind weiterhin ungepatchte Zero-Days.
Nach den ersten Veroeffentlichungen reagierte Microsoft mit dem Hinweis auf moegliche rechtliche Schritte gegen Personen, die sich an “boesartigen Aktivitaeten mit realem Schaden fuer unsere Kunden” beteiligen. Viele Beobachter werteten dies als direkte Drohung gegen den Forscher.