啟用「Microsoft Office 檔案惡意巨集移除」修復功能 （第 3 階段最佳防護原則或更高版本），遠端 Windows 主機上安裝的 CrowdStrike Falcon 感應器會受到本機權限提升弱點的影響。

未經驗證的本機攻擊者可透過以下方式利用此弱點：

  - 將 OLE 複合文件 （巨集誘餌檔） 寫入 %TEMP% 下的暫存目錄，以觸發 Falcon 的系統級巨集修復。

  - 使用 oplock 來計時 TOCTOU 爭用視窗、刪除暫存 v1.0 子目錄，以及植入 NTFS 掛載點 （IO_REPARSE_TAG_MOUNT_POINT），將任何擱置中的檔案作業重新導向至 C：\\Windows\\System32\\WindowsPowerShell\\v1.0\\。

  - 透過交易 NTFS （TXFS / CreateFileTransacted） 傳遞任意 DLL 承載，這會提交 C：\\Windows\System32\\WindowsPowerShell\\v1.0\\bcrypt.dll 的不可部分完成覆寫，同時繞過 Falcon 的微型篩選器寫入攔截。

  - 透過 \\Microsoft\\Windows\Application Experience 下的 MareBackup 排程任務觸發系統層級 DLL 執行，這會載入取代的bcrypt.dll。

結果是從標準使用者帳戶執行完整的系統層級程式碼。

請注意，Nessus 尚未針對此問題進行測試，而是依賴於對存在易受攻擊的軟體的偵測。
無法從遠端確認「Microsoft Office 檔案惡意巨集移除」功能的原則狀態;應根據 Falcon 策略主控台驗證調查結果。

启用“Microsoft Office 文件恶意宏删除”修复功能时（第 3 阶段：最佳保护策略或更高版本），远程 Windows 主机上安装的 CrowdStrike Falcon 传感器受到本地权限提升漏洞的影响。 

经过身份验证的本地攻击者可以通过以下方式利用此漏洞：

  - 将 OLE 复合文档（宏诱饵文件）写入 %TEMP% 下的暂存目录以触发 Falcon 的系统级宏修复。

  - 使用 oplock 为 TOCTOU 争用窗口计时，删除暂存 v1.0 子目录，并植入将所有待定文件操作重定向到 C：\\Windows\\System32\\WindowsPowerShell\\v1.0\\的 NTFS 挂载点 （IO_REPARSE_TAG_MOUNT_POINT）。

  - 通过 Transacted NTFS （TXFS / CreateFileTransacted） 交付任意 DLL 负载，这会对 C：\\Windows\\System32\\WindowsPowerShell\\v1.0\\bcrypt.dll 提交原子性覆盖，同时绕过 Falcon 的微过滤器写入拦截。

  - 通过 \\Microsoft\Windows\\Application Experience 下的 MareBackup 计划任务触发系统级 DLL 执行，该任务加载替换的bcrypt.dll。

结果是从标准用户帐户执行完整的 SYSTEM 级别代码。

请注意，Nessus 没有测试此问题，而仅依赖于对存在易受攻击的软件的检测。
无法远程确认“Microsoft Office 文件恶意宏删除”功能的策略状态；应根据 Falcon 策略控制台验证发现结果。

リモートのWindowsホストにインストールされているCrowdStrike Falcon Sensorは、「Microsoft Officeファイルの悪意のあるマクロの削除」修復機能が有効になっているとき(フェーズ3: 最適な保護ポリシー以上)、ローカルの権限昇格の脆弱性による影響を受けます。

認証済みのローカルの攻撃者は、次の方法でこれを悪用できます

  - OLE 複合ドキュメント(マクロベイトファイル)を %TEMP% 下のステージングディレクトリに書き込み、Falcon のシステムレベルのマクロ修復を発生させる。

  - oplock を使用して TOCTOU の競合ウィンドウのタイミングを計り、ステージング用の v1.0 サブディレクトリを削除したうえで、保留中のファイル操作を C:\Windows\System32\WindowsPowerShell\v1.0\ へリダイレクトする NTFS マウントポイント (IO_REPARSE_TAG_MOUNT_POINT) を設置する。

  - Transacted NTFS (TXFS / CreateFileTransacted) を介して任意の DLL ペイロードを配信し、Falcon のミニフィルターによる書き込みインターセプトを回避しながら、C:\Windows\System32\WindowsPowerShell\v1.0\bcrypt.dll をアトミックに上書きするトランザクションをコミットする。

  - MareBackup スケジュールタスクを介して SYSTEM レベルの DLL 実行をトリガーする。このタスクは \\Microsoft\\Windows\\Application Experience にあり、置き換えられた bcrypt.dll をロードする。

その結果、標準ユーザーアカウントからシステムレベルのコードがフル実行されます。

注意: Nessus は、この問題をテストしていませんが、その代わりに、脆弱なソフトウェアが存在することの検出に依存しています。
「Microsoft Office ファイルの悪意のあるマクロ削除」機能のポリシーの状態は、リモートで確認することができませんでした。検出結果は、Falcon ポリシーコンソールと照合して検証する必要があります。

The CrowdStrike Falcon Sensor installed on the remote Windows host is affected by a local privilege escalation vulnerability when the 'Microsoft Office file malicious macro removal' remediation feature is enabled (Phase 3 Optimal Protection policy or higher).

An authenticated local attacker can exploit this by:

  - Writing an OLE Compound Document (macro-bait file) into a     staging directory under %TEMP% to trigger Falcon's SYSTEM-level     macro remediation.

  - Using an oplock to time a TOCTOU race window, deleting the     staging v1.0 subdirectory, and planting an NTFS mount point     (IO_REPARSE_TAG_MOUNT_POINT) that redirects any pending file     operations to C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\.

  - Delivering an arbitrary DLL payload via Transacted NTFS (TXFS /     CreateFileTransacted), which commits an atomic overwrite of     C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\bcrypt.dll while     bypassing Falcon's minifilter write interception.

  - Triggering SYSTEM-level DLL execution via the MareBackup     scheduled task under \\Microsoft\\Windows\\Application     Experience, which loads the replaced bcrypt.dll.

The result is full SYSTEM-level code execution from a standard user account.

Note that Nessus has not tested for this issue but has instead relied on detection of the vulnerable software being present.
The policy state of the 'Microsoft Office file malicious macro removal' feature could not be confirmed remotely; findings should be verified against the Falcon policy console.

ID	名稱	產品	系列	已發布	已更新	嚴重性
350271	CrowdStrike Falcon 傳感器本地權限提升（CVE-2026-40058 / FalconFlank）	Nessus	Windows	2026/9/25	2026/10/23	high
350271	CrowdStrike Falcon 传感器本地权限升级（CVE-2026-40058 / FalconFlank）	Nessus	Windows	2026/9/25	2026/10/23	high
350271	CrowdStrike Falcon センサーのローカル権限昇格 (CVE-2026-40058 /FalconFlank)	Nessus	Windows	2026/9/25	2026/10/23	high
350271	CrowdStrike Falcon Sensor Local Privilege Escalation (CVE-2026-40058 / FalconFlank)	Nessus	Windows	2026/9/25	2026/10/23	high

偵測

搜尋 Plugin

high

high

high

high