Abuso de symlink de arquivo pode levar à exclusão de arquivos pertencentes ao usuário SYSTEM

Um atacante pode explorar essa vulnerabilidade para manipular arquivos críticos do sistema, potencialmente comprometendo a estabilidade e a segurança do sistema Windows. Ao criar links simbólicos e, em seguida, acionar a opção de reset de configurações, o serviço WARP, executando com privilégios de Sistema, pode inadvertidamente excluir arquivos essenciais. Isso pode resultar em perda de dados, instabilidade do sistema ou até mesmo permitir a execução de código malicioso, dependendo dos arquivos afetados. A capacidade de manipular arquivos do sistema com privilégios elevados representa um risco significativo para a integridade do sistema.

Organizations and individuals using Cloudflare WARP on Windows are at risk. This includes users who have not yet updated to the latest version and those with legacy configurations that might be more susceptible to exploitation. Shared hosting environments where multiple users have access to the system are also at increased risk.

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*WARP*'} | Select-Object TaskName, State

• windows / supply-chain:

Get-Process | Where-Object {$_.ProcessName -like '*warp*'} | Select-Object ProcessName, Id

• windows / supply-chain: Check the registry for unusual entries under HKEYCURRENTUSER\Software\Cloudflare\WARP or HKEYLOCALMACHINE\Software\Cloudflare\WARP that might indicate malicious configuration. • windows / supply-chain: Use Windows Defender to search for suspicious processes or files related to WARP, particularly those creating symbolic links in the C:\ProgramData\Cloudflare\warp-diag-partials directory.

1. 2025-01-22Disclosure

   disclosure

1. Reservado2025-01-22
2. Publicada2025-01-22
3. Modificada2025-02-12
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2025-0651 é atualizar o Cloudflare WARP para a versão 2024.12.492.0 ou superior. Se a atualização imediata não for possível, considere restringir o acesso de gravação à pasta C:\ProgramData\Cloudflare\warp-diag-partials. Monitore a atividade do serviço WARP em busca de comportamentos anormais, como exclusões inesperadas de arquivos. Implementar políticas de controle de acesso rigorosas pode ajudar a limitar o impacto potencial da exploração. Após a atualização, verifique se o serviço WARP está funcionando corretamente e se os arquivos do sistema permanecem intactos.