CrowdStrike Falcon 传感器本地权限升级 （CVE-2026-40058 / FalconFlank）
high Nessus 插件 ID 350271
语言：
简介
远程 Windows 主机上安装的安全产品受到一个本地权限升级漏洞影响。描述
启用“Microsoft Office 文件恶意宏删除”修复功能时（第 3 阶段：最佳保护策略或更高版本），远程 Windows 主机上安装的 CrowdStrike Falcon 传感器受到本地权限提升漏洞的影响。经过身份验证的本地攻击者可以通过以下方式利用此漏洞：
- 将 OLE 复合文档（宏诱饵文件）写入 %TEMP% 下的暂存目录以触发 Falcon 的系统级宏修复。
- 使用 oplock 为 TOCTOU 争用窗口计时，删除暂存 v1.0 子目录，并植入将所有待定文件操作重定向到 C：\\Windows\\System32\\WindowsPowerShell\\v1.0\\的 NTFS 挂载点 （IO_REPARSE_TAG_MOUNT_POINT）。
- 通过 Transacted NTFS （TXFS / CreateFileTransacted） 交付任意 DLL 负载，这会对 C：\\Windows\\System32\\WindowsPowerShell\\v1.0\\bcrypt.dll 提交原子性覆盖，同时绕过 Falcon 的微过滤器写入拦截。
- 通过 \\Microsoft\Windows\\Application Experience 下的 MareBackup 计划任务触发系统级 DLL 执行，该任务加载替换的bcrypt.dll。
结果是从标准用户帐户执行完整的 SYSTEM 级别代码。
请注意，Nessus 没有测试此问题，而仅依赖于对存在易受攻击的软件的检测。
无法远程确认“Microsoft Office 文件恶意宏删除”功能的策略状态；应根据 Falcon 策略控制台验证发现结果。
解决方案
升级到供应商公告中所述的热修复版本。另见
https://github.com/MSNightmare/FalconFlank
https://www.crowdstrike.com/en-us/security-advisories/cve-2026-40058/
插件详情
严重性: High
ID: 350271
文件名: crowdstrike_falcon_falconflank_privesc.nbin
版本: 1.5
类型: Local
代理: windows
系列: Windows
发布时间: 2026/9/25
最近更新时间: 2026/11/4
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5
百分位: 93.38
CVSS v2
风险因素: Medium
基本分数: 6.8
时间分数: 5
矢量: CVSS2#AV:L/AC:L/Au:S/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-40058
CVSS v3
风险因素: High
基本分数: 8.8
时间分数: 7.7
矢量: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:crowdstrike:falcon_sensor
必需的 KB 项: SMB/Registry/Enumerated, installed_sw/CrowdStrike Falcon Sensor
易利用性: No known exploits are available
漏洞发布日期: 2026/9/2
参考资料信息
CVE: CVE-2026-40058