PoC khai thác CrowdStrike Falcon liên quan đến cơ chế xử lý macro của Microsoft Office
"A researcher known as Nightmare Eclipse published a proof-of-concept exploit, FalconFlank, targeting CrowdStrike Falcon’s Microsoft Office malicious macro remediation feature. The issue is described as a privilege escalation affecting fully patched Windows 11 25H2 and Windows Server 2025 systems with Falcon Phase 3 protection enabled; CrowdStrike said it is investigating and advised customers to disable the related macro removal policy while using Cloud Anti-malware for Microsoft Office Files settings."
Ảnh hưởng đến endpoint security và có thể dẫn tới leo thang đặc quyền trên hệ thống Windows đã vá đầy đủ khi cấu hình liên quan được bật.
Có thể buộc đội vận hành thay đổi chính sách bảo vệ macro tạm thời, ảnh hưởng đến quy trình bảo vệ tài liệu Office và công tác kiểm soát rủi ro trên endpoint.
Một nhà nghiên cứu bảo mật có biệt danh Nightmare Eclipse đã công bố proof-of-concept (PoC) mang tên FalconFlank, nhắm vào CrowdStrike Falcon. Theo mô tả, lỗ hổng này là một privilege escalation liên quan đến tính năng Microsoft Office malicious macro remediation trong nền tảng Falcon, vốn dùng để kiểm tra tài liệu Office và loại bỏ macro bị nghi ngờ độc hại.
PoC được cho là hoạt động trên các hệ thống Windows 11 25H2 và Windows Server 2025 đã cập nhật đầy đủ, khi chạy cùng CrowdStrike Falcon Phase 3 - Optimal Protection và bật chính sách xử lý macro nói trên. CrowdStrike cho biết đang điều tra và khuyến nghị khách hàng tạm thời vô hiệu hóa chính sách Microsoft Office File Suspicious Macro Removal trong Windows policy, đồng thời tiếp tục sử dụng Cloud Anti-malware for Microsoft Office Files để duy trì lớp bảo vệ liên quan.
Về mặt vận hành, các đội kỹ thuật nên rà soát cấu hình Falcon, kiểm tra mức độ phụ thuộc vào tính năng lọc macro, và theo dõi bản cập nhật hoặc FalconFlank Tech Alert từ cổng hỗ trợ của CrowdStrike. Trong ngắn hạn, ưu tiên là giảm rủi ro leo thang đặc quyền trong môi trường endpoint có bật tính năng này.