Cortex XDR Agent: 本地 Windows 用户可以禁用代理

攻击者可以利用此漏洞在受影响的Windows设备上获得更高的权限，绕过Cortex XDR的监控和检测机制。恶意软件可以利用此漏洞禁用Cortex XDR Agent，从而在系统中自由运行，窃取敏感数据、破坏系统文件或进行其他恶意活动。由于Cortex XDR Agent主要用于威胁检测和响应，其禁用会显著降低安全防御能力，增加组织遭受攻击的风险。此漏洞的潜在影响范围取决于受影响设备上存储的数据敏感程度以及攻击者能够利用该漏洞执行的恶意活动类型。

Organizations heavily reliant on the Cortex XDR agent for endpoint detection and response are at significant risk. Environments with a large number of low-privileged users, or those with weak user privilege management controls, are particularly vulnerable. Shared hosting environments where multiple users have access to the same endpoint are also at increased risk.

• windows / supply-chain:

Get-Process -Name "CortexXdrAgent" | Select-Object -ExpandProperty CPU

• windows / supply-chain:

Get-Service -Name "CortexXdrAgentService" | Select-Object -ExpandProperty Status

• windows / supply-chain:

Get-WinEvent -LogName Application -FilterXPath "*[System[Provider[@Name='Cortex XDR Agent']]]" -MaxEvents 10

• windows / supply-chain: Check Autoruns for suspicious entries related to the Cortex XDR agent.

1. 2024-06-12Disclosure

   disclosure

1. 已保留2024-06-12
2. 发布日期2024-06-12
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

为了缓解CVE-2024-5909的影响，建议立即将Cortex XDR Agent升级至8.2.1或更高版本。如果无法立即升级，可以考虑实施以下临时缓解措施：限制本地Windows用户的权限，减少其禁用代理的能力；监控系统日志，检测任何未经授权的代理禁用行为；使用Windows Defender或其他安全软件来检测和阻止恶意软件的活动。升级后，请验证Cortex XDR Agent是否正常运行，并确认所有保护功能已启用。