Cortex XDR Agent: Local Privilege Escalation (PE) Vulnerabiliteit

De impact van deze privilege escalation kwetsbaarheid is aanzienlijk. Een aanvaller die de race condition succesvol kan exploiteren, kan de agent gebruiken om code met de privileges van het systeem uit te voeren. Dit kan leiden tot ongeautoriseerde toegang tot gevoelige gegevens, installatie van malware, en verdere compromittering van het netwerk. Hoewel de exploitatie als moeilijk wordt beschouwd, is de potentiële impact groot, aangezien een succesvolle aanval de volledige controle over de geïnfecteerde Windows-host kan overnemen. De race condition maakt de exploitatie complexer, maar sluit niet uit dat deze in de toekomst kan worden geautomatiseerd of door geavanceerde aanvallers wordt gebruikt.

Organizations deploying Palo Alto Networks Cortex XDR agent on Windows systems, particularly those with less stringent local account privilege controls, are at risk. Environments with a high number of local administrator accounts or those lacking robust monitoring of process execution are especially vulnerable.

• windows / supply-chain:

Get-Process -Name CortexXdrAgent | Select-Object -ExpandProperty CPU

• windows / supply-chain:

Get-WinEvent -LogName Application -Filter "EventID = 1000 -ProviderName PaloAltoNetworks.CortexXDRAgent" | Select-String -Pattern "error"

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*CortexXdrAgent*'} | Format-List TaskName, State

1. 2024-06-12Disclosure

   disclosure

1. Gereserveerd2024-06-12
2. Gepubliceerd2024-06-12
3. Gewijzigd2024-08-01
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-5907 is het upgraden van de Palo Alto Networks Cortex XDR agent naar de meest recente versie. Controleer de Palo Alto Networks security advisories voor de specifieke versie die de kwetsbaarheid verhelpt. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van lokale gebruikersaccounts om de potentiële impact van een succesvolle exploitatie te minimaliseren. Monitor de systemen op verdachte processen die met verhoogde privileges worden uitgevoerd. Na de upgrade, verifieer de installatie door de versie van de Cortex XDR agent te controleren en te bevestigen dat de nieuwste beveiligingspatches zijn geïnstalleerd.