Researcher Releases FalconFlank PoC Showing Privilege Escalation in CrowdStrike Falcon

Vulnérabilité d’élévation de privilèges dans CrowdStrike Falcon : “FalconFlank”

Le chercheur en sécurité connu sous le pseudonyme “Chaotic Eclipse” a dévoilé un nouvel exploit “zero-day” baptisé FalconFlank. Cette vulnérabilité permet une élévation de privilèges locale en détournant les mécanismes de remédiation des macros malveillantes intégrés au capteur CrowdStrike Falcon sur les systèmes Windows 11 et Windows Server 2025.

Points clés :

• Fonctionnement : L’exploit abuse des fonctions de nettoyage de CrowdStrike pour écrire une DLL malveillante avec des privilèges élevés.
• Contexte : Le chercheur a récemment publié plusieurs preuves de concept (PoC) ciblant divers outils de sécurité (Kaspersky avec HardBreacher, Microsoft Defender avec ShieldBreak).
• Réaction : CrowdStrike dispose potentiellement déjà de mesures de détection pour cette méthode. Le chercheur souligne que les mécanismes de remédiation des antivirus sont devenus une cible privilégiée pour l’élévation de privilèges.

Vulnérabilités mentionnées :

• FalconFlank : Non documentée par un identifiant CVE à ce stade.
• ShieldBreak : CVE-2026-69414 (contournement de correctif pour CVE-2026-50656).
• HardBreacher : Correctif déjà déployé par Kaspersky via mise à jour automatique.

Recommandations :

• Surveillance : Assurez-vous que les agents CrowdStrike Falcon sont à jour pour bénéficier des dernières signatures de détection.
• Atténuation : Pour les environnements de test, il est nécessaire d’utiliser des techniques d’obfuscation ou d’ajouter des exclusions spécifiques pour éviter que les outils de sécurité ne bloquent l’exécution des PoC, ce qui confirme l’efficacité des mesures de protection actuelles contre ces vecteurs d’attaque.
• Veille : Suivre les recommandations des éditeurs concernant les mises à jour automatiques des bases de signatures, particulièrement pour les produits de sécurité endpoint.

Source