Cortex XDR Agent: ローカル権限昇格 (PE) の脆弱性

この脆弱性は、ローカルユーザーがCortex XDR Agentのレースコンディションを悪用することで、管理者権限で任意のコードを実行できる可能性があります。攻撃者は、この権限を利用して機密情報を窃取したり、システム設定を改ざんしたり、マルウェアをインストールしたりすることが考えられます。特に、特権アカウントが使用されている環境では、攻撃の影響が広範囲に及ぶ可能性があります。この脆弱性の悪用は困難であるとされていますが、攻撃者がレースコンディションを特定し、悪用コードを作成した場合、深刻な被害をもたらす可能性があります。

Organizations deploying Palo Alto Networks Cortex XDR agent on Windows systems, particularly those with less stringent local account privilege controls, are at risk. Environments with a high number of local administrator accounts or those lacking robust monitoring of process execution are especially vulnerable.

• windows / supply-chain:

Get-Process -Name CortexXdrAgent | Select-Object -ExpandProperty CPU

• windows / supply-chain:

Get-WinEvent -LogName Application -Filter "EventID = 1000 -ProviderName PaloAltoNetworks.CortexXDRAgent" | Select-String -Pattern "error"

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*CortexXdrAgent*'} | Format-List TaskName, State

1. 2024-06-12Disclosure

   disclosure

1. 予約済み2024-06-12
2. 公開日2024-06-12
3. 更新日2024-08-01
4. EPSS 更新日2026-04-02

Palo Alto Networksは、Cortex XDR Agentを最新バージョンにアップグレードすることを推奨しています。アップグレードが困難な場合は、一時的な緩和策として、ローカルユーザーの権限を制限したり、Cortex XDR Agentのプロセスを監視したりすることが考えられます。また、Windows Defenderなどのセキュリティソフトウェアを最新の状態に保ち、不審なプロセスを検知できるようにすることも重要です。アップグレード後、Cortex XDR Agentのバージョンを確認し、脆弱性が修正されていることを確認してください。