Cortex XDR Agent: 权限提升 (PE) 漏洞

该漏洞的潜在影响是显著的。成功利用此漏洞的攻击者可以获得系统管理员级别的权限，从而完全控制受影响的系统。攻击者可以安装恶意软件、窃取敏感数据、修改系统配置，甚至进行横向移动以攻击网络中的其他系统。由于需要成功利用竞争条件，因此该漏洞的实际利用难度较高，但一旦成功，其影响范围将非常广泛，可能导致数据泄露、服务中断和声誉损害。类似竞争条件漏洞的利用可能导致系统被完全控制。

Organizations deploying Palo Alto Networks Cortex XDR agent on Windows systems, particularly those with less stringent local account privilege controls, are at risk. Environments with a high number of local administrator accounts or those lacking robust monitoring of process execution are especially vulnerable.

• windows / supply-chain:

Get-Process -Name CortexXdrAgent | Select-Object -ExpandProperty CPU

• windows / supply-chain:

Get-WinEvent -LogName Application -Filter "EventID = 1000 -ProviderName PaloAltoNetworks.CortexXDRAgent" | Select-String -Pattern "error"

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -like '*CortexXdrAgent*'} | Format-List TaskName, State

1. 2024-06-12Disclosure

   disclosure

1. 已保留2024-06-12
2. 发布日期2024-06-12
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

Palo Alto Networks 建议用户尽快升级到已修复的版本。如果无法立即升级，可以考虑以下缓解措施：限制本地用户权限，实施严格的访问控制策略，并监控系统日志以检测可疑活动。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意流量。由于竞争条件的存在，针对此漏洞的特定检测签名可能难以创建，但应持续监控系统性能和资源使用情况，以检测异常行为。升级后，请验证新版本是否已成功安装并修复了漏洞。