Webroot Antivirus COMオブジェクト奪取による権限昇格 (COM-Hijacking LPE)

この脆弱性は、攻撃者がWebroot Antivirusのコンテキストで高い権限を取得することを可能にします。具体的には、WRSA.EXEプロセスを悪用して、システム上の重要なファイル、特に保護されたファイルを削除できるようになります。これにより、システムの安定性が損なわれ、データの完全性が脅かされる可能性があります。攻撃者は、この脆弱性を利用して、システムを完全に制御下に置くことも考えられます。この脆弱性は、Windows 64bitおよび32bitシステムに影響を与えます。

Organizations using Webroot Antivirus in environments with sensitive data or critical infrastructure are particularly at risk. Systems with legacy configurations or those that haven't been regularly patched are also more vulnerable. Shared hosting environments where multiple users share the same server could potentially be affected if one user's compromised account exploits this vulnerability.

• windows / supply-chain:

Get-Process -Name WRSA | Select-Object -ExpandProperty Path

• windows / supply-chain:

Get-WinEvent -LogName Application -Filter "EventID=1001 and Source='Webroot'"

• windows / supply-chain: Check Autoruns for unusual entries related to WRSA.EXE or Webroot Antivirus. • windows / supply-chain: Use Sysinternals Process Monitor to monitor WRSA.EXE's file system activity.

1. 2024-05-01Disclosure

   disclosure

1. 予約済み2024-01-25
2. 公開日2024-05-01
3. 更新日2024-08-02
4. EPSS 更新日2026-04-02

Webroot Antivirusを9.0.35.17以降のバージョンにアップデートすることが最も効果的な対策です。アップデートがすぐに利用できない場合は、WRSA.EXEの実行権限を制限するなどの一時的な回避策を検討してください。また、WAFやIPSなどのセキュリティデバイスで、WRSA.EXEに関連する異常なアクティビティを監視し、ブロックするルールを実装することも有効です。Windows Defenderの定義を最新の状態に保ち、WRSA.EXEに関連する疑わしいプロセスを検出するように設定してください。