CrowdStrike Falcon’daki Sıfır Gün Açığı Windows Sistemlerinde SYSTEM Yetkisi Veriyor
CrowdStrike Falcon güvenlik platformunda ortaya çıkarılan yeni sıfır gün açığı, güncel Windows sistemlerinde saldırganların SYSTEM yetkileriyle komut istemi çalıştırmasına yol açabiliyor. “FalconFlank” adı verilen henüz CVE numarası atanmamış güvenlik açığı, Falcon Sensor içindeki Office kötü amaçlı makro temizleme işlevinin kötüye kullanılmasına dayanıyor. Güvenlik araştırmacısı Nightmare Eclipse açığı yayımlarken CrowdStrike iddiaları araştırdığını açıkladı ve müşterilerine belirli bir Microsoft Office ilkesini devre dışı bırakmalarını önerdi.
FalconFlank Windows 11 Ve Windows Server Sistemlerini Hedefliyor
Güvenlik araştırmacısı Nightmare Eclipse, FalconFlank adını verdiği açığın Windows 11 ile Windows Server’ın güncel sürümlerinde çalıştığını bildirdi. Araştırmacı özellikle Windows 11 25H2 ile Windows Server 2025 üzerinde yapılan testlerde Falcon güvenlik yazılımının kurulu olduğu sistemlerde ayrıcalık yükseltme saldırısının gerçekleştirilebildiğini öne sürdü.
CrowdStrike Falcon Sensor, uç noktalardaki tehditleri tespit etmek için Windows üzerinde yüksek ayrıcalıklarla çalışan bileşenler barındırıyor. Saldırganın böyle bir bileşendeki güvenlik kontrolünü aşması durumunda elde edebileceği yetki seviyesi, standart kullanıcı hesabından çok daha geniş sistem işlemlerine erişim sağlayabiliyor. FalconFlank kapsamında araştırmacının gösterdiği sonuç da saldırganın SYSTEM yetkisine sahip bir komut istemi başlatabilmesi olarak açıklanıyor.
Saldırı senaryosunda hedeflenen bileşen, CrowdStrike Falcon’un Microsoft Office dosyalarındaki şüpheli makroları temizlemek için kullandığı güvenlik işlevi olarak öne çıkıyor. Araştırmacı, bu özelliğin işleyişinden yararlanarak ayrıcalık yükseltme gerçekleştiren bir kavram kanıtı yayımladı.
CrowdStrike ise müşterilerine Microsoft Office dosyaları için kullanılan “File Suspicious Macro Removal” Windows ilkesini geçici olarak devre dışı bırakmalarını tavsiye etti. Şirket, bu ayarın kapatılmasının ardından Cloud Anti-malware for Microsoft Office Files yapılandırmalarının koruma sağlamaya devam edeceğini belirtti.
CrowdStrike yetkilileri, araştırmacının iddiaları hakkında inceleme başlatıldığını açıkladı. Şirketin müşterilere sunduğu FalconFlank teknik uyarısı ise genel erişime açılmadı ve yalnızca CrowdStrike destek portalında hesabı bulunan müşteriler tarafından görüntülenebiliyor.
Açığa henüz bir CVE kimliği verilmemesi, güvenlik ekiplerinin riski takip etmesini zorlaştırabilecek unsurlar arasında bulunuyor. CVE sistemi bir güvenlik açığına standart bir kimlik kazandırarak üreticilerin, güvenlik araçlarının, tehdit istihbaratı platformlarının ile kurumların aynı zafiyet üzerinden iletişim kurmasına yardımcı oluyor.
Araştırmacı Nightmare Eclipse, aynı hafta içerisinde farklı güvenlik yazılımlarına yönelik başka sıfır gün açıklarını da yayımladı. Kaspersky Antivirus for Endpoint için “HardBreacher”, GenDigital Avast Antivirus için “PrettyPrague” adlarını taşıyan ayrıcalık yükseltme açıkları paylaşılırken Nvidia ürünlerini etkileyen “GreenSection” adlı hizmet engelleme açığı da ortaya kondu.
Siber güvenlik uzmanı Kevin Beaumont, hafta içinde yayımlanan ayrıcalık yükseltme açıklarının gerçek olduğunu ve çalıştığını doğruladı. Farklı üreticilerin güvenlik yazılımlarında art arda ayrıcalık yükseltme açıklarının ortaya çıkması, uç nokta güvenlik araçlarının kendisinin de saldırı yüzeyinin önemli bir parçası olduğunu gösteriyor.
Microsoft ürünleri de Nightmare Eclipse tarafından nisan ayından bu yana yayımlanan çok sayıda sıfır gün araştırmasının hedefinde yer aldı. Microsoft Defender, BitLocker ile çeşitli Windows bileşenlerini etkileyen LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma ve UnDefend adlı açıklar araştırmacının yayımladığı çalışmalar arasında bulunuyor.
Microsoft bazı açıkları daha sonra giderdi. LegacyHive, RoguePlanet, YellowKey, GreenPlasma ile MiniPlasma için düzeltmeler yayımlanırken diğer güvenlik sorunlarının bir bölümü için henüz resmî yama bekleniyor. Microsoft, önceki açıklamalarda müşterilere gerçek zarar veren kötü niyetli faaliyetlerde bulunan kişiler hakkında hukuki işlem başlatabileceği uyarısında bulunmuştu.
Kurumsal güvenlik ekipleri Falcon Sensor kullanan Windows cihazlarında CrowdStrike’ın yayımladığı geçici yapılandırma tavsiyesini dikkate alarak ilgili Office ilkesini kontrol etmeli. BT yöneticileri ayrıca FalconFlank için yeni bir CVE kimliği, kalıcı güvenlik güncellemesi veya CrowdStrike tarafından duyurulacak farklı bir azaltma yöntemi yayımlandığında mevcut yapılandırmayı yeniden değerlendirmeli.
Güvenlik operasyon merkezleri ise ayrıcalıklı süreçlerin beklenmeyen komut istemleri başlatması, Office dosyalarıyla ilişkili olağandışı Falcon işlemleri ile kullanıcı yetkisini SYSTEM seviyesine yükselten şüpheli süreç zincirlerini incelemeli. Açığın henüz CVE numarasına sahip olmaması, kurumların tespit çalışmalarını yalnızca standart CVE listelerine bağlamaması gerektiğini de ortaya koyuyor.
CrowdStrike’ın araştırması tamamlandıktan sonra FalconFlank için teknik ayrıntıların, etkilenen sürümlerin, kalıcı düzeltmenin veya yeni bir güvenlik uyarısının açıklanması bekleniyor. Gelişmenin sonraki aşamasını özellikle üreticinin araştırma sonucu ile bağımsız araştırmacıların PoC’sinin gerçek saldırı koşullarında ne ölçüde kullanılabildiğine ilişkin yeni doğrulamalar belirleyecek.
