{"id":51023,"date":"2026-09-03T10:13:13","date_gmt":"2026-09-03T08:13:13","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51023"},"modified":"2026-09-03T10:13:13","modified_gmt":"2026-09-03T08:13:13","slug":"falconflank-poc-crowdstrike-falcon-51023","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/falconflank-poc-crowdstrike-falcon-51023\/","title":{"rendered":"FalconFlank PoC zeigt Privilegieneskalation in CrowdStrike Falcon"},"content":{"rendered":"

Ein neuer Zero-Day<\/a>a-Exploit namens FalconFlank bedroht die Endpunktsicherheitsl\u00f6sung CrowdStrike Falcon. Der als Chaotic Eclipse<\/a> bekannte Sicherheitsforscher ver\u00f6ffentlichte einen Proof-of-Concept (PoC), der eine Privilegieneskalation auf vollst\u00e4ndig aktualisierten Windows\u201111\u201125H2\u2011 und Windows\u2011Server\u20112025\u2011Systemen ausl\u00f6st. Die Schwachstelle missbraucht die in den CrowdStrike\u2011Falcon\u2011Sensor integrierte Abwehrmechanik gegen schadhafte Office\u2011Makros.<\/p>\n

FalconFlank: Zero-Day-Exploit f\u00fcr CrowdStrike Falcon ver\u00f6ffentlicht<\/h2>\n

Der Sicherheitsforscher Chaotic Eclipse, der auch unter den Pseudonymen INFINITE NIGHTMARE, MSNightmare und Nightmare\u2011Eclipse auftritt, hat auf GitHub eine technische Beschreibung und einen PoC f\u00fcr eine neue Sicherheitsl\u00fccke bereitgestellt. In der README\u2011Datei erkl\u00e4rt er, dass der Exploit die Office\u2011Malware\u2011Makro\u2011Remediation in CrowdStrike Falcon ausnutzt, um privilegierten Code auszuf\u00fchren. Er r\u00e4umt ein, dass CrowdStrike m\u00f6glicherweise bereits Erkennungsregeln f\u00fcr diese Angriffstechnik implementiert hat. Wer den PoC testen wolle, m\u00fcsse die entsprechende Regel entweder ausschlie\u00dfen oder den Ladevorgang der DLL verschleiern.<\/p>\n

Der Exploit funktioniert nach Angaben des Forschers auf einer vollst\u00e4ndig aktualisierten Windows\u201111\u201125H2\u2011Maschine sowie auf Windows Server 2025 mit installiertem CrowdStrike\u2011Sensor. Eine Stellungnahme von CrowdStrike zu der Schwachstelle liegt bislang nicht vor. Der Vorfall reiht sich in eine Serie von Zero\u2011Day\u2011Ver\u00f6ffentlichungen ein, die derselbe Forscher in den vergangenen Wochen bekannt gegeben hat.<\/p>\n

Technische Funktionsweise der Schwachstelle<\/h2>\n

FalconFlank geh\u00f6rt zur Kategorie der lokalen Privilegieneskalationen und nutzt einen Mechanismus, der eigentlich schadhafte Makros in Office\u2011Dokumenten unterbinden soll. CrowdStrike Falcon \u00fcberwacht und unterbricht verd\u00e4chtige Makroaktivit\u00e4ten. Der Exploit manipuliert diesen Remediation\u2011Pfad derart, dass ein Angreifer ohne ausreichende Berechtigungen auf Systemebene operieren kann. Durch geschickte Ausnutzung der Reaktionskette des Sensors wird letztlich eine DLL mit SYSTEM\u2011Rechten geladen oder eine entsprechende Datei in gesch\u00fctzte Systemverzeichnisse geschrieben.<\/p>\n

Die genaue Vorgehensweise ist im ver\u00f6ffentlichten PoC dokumentiert. Interessant ist, dass CrowdStrike die Schwachstelle m\u00f6glicherweise bereits durch Verhaltensanalyse erkennen kann, der Forscher jedoch einen Weg gefunden hat, diese Erkennung zu umgehen. F\u00fcr Unternehmen, die CrowdStrike Falcon einsetzen, besteht damit akuter Handlungsbedarf, die Sicherheitskonfiguration zu \u00fcberpr\u00fcfen und gegebenenfalls tempor\u00e4re Ma\u00dfnahmen zu ergreifen, bis ein offizieller Patch vorliegt.<\/p>\n

Weitere Zero-Days: HardBreacher und ShieldBreak<\/h2>\n

Chaotic Eclipse hat wenig zuvor auch einen Exploit namens HardBreacher<\/strong> f\u00fcr das Kaspersky Endpoint Security Produkt (Version 14.0.0.504) ver\u00f6ffentlicht. Der PoC ist nach eigenen Worten „nicht im besten Zustand“, sondern funktioniere nur nach mehreren Wiederholungen. Gel\u00e4nge der Angriff, werde eine DLL in C:\\Windows\\System32\\MY_SNAKE_IS_SOLID.dll abgelegt, auf die der aktuelle Benutzer volle Zugriffsrechte erh\u00e4lt. Der Forscher betont, dass Kaspersky die Kontrolle \u00fcber den UI\u2011Prozess verliert, sodass der gesamte Betreibssytemzstzand instabil werden kann.<\/p>\n

Bereits im August 2026<\/a> ver\u00f6ffentlichte der Forscher den Shield\u2011Break\u2011Exploit (CVE\u20112026\u201169414) f\u00fcr Microsoft Defender, der einem Angreifer die Ausf\u00fchrung von beliebigem Code mit NT AUTHORITY\\SYSTEM\u2011Berechtigungen erm\u00f6glcht. Dieser Exploit umgeht einen k\u00fcrzlich gepatchten Fehler (CVE\u20112026\u201150656, genannt RoguePlanet). LevelBlue beschrieb, wie ShieldBreak die Cloud\u2011Files\u2011API, die Objektmanager\u2011Namespace\u2011Manipulation und eine Timing\u2011Race\u2011Condition in der Bereinigungspfad von Defender kombiniert, um eine eigene DLL in System32 zu schreiben und schlie\u00dflich \u00fcber den integrierten Windows\u2011Fehlerberichtsdienst SYSTEM\u2011Berechtigungen zu erlangen.<\/p>\n

Hintergrund: Forscher kritisiert mangelnde Kommunikation mit Microsoft<\/h2>\n

Chaotic Eclipse wirft Microsoft vor, jegliche Kommunikation zu verweigern und ihn \u00f6ffentlich zu disktreditieren. In einem Blogbeitrag von Mitte August 2026 schreibt er, er k\u00f6nne wegen der von Microsoft auferlegten Einschr\u00e4nkungen keine Sicherheitsl\u00fccken anderer Hersteller mehr melden. Er droht, k\u00fcnftig Bugs f\u00fcr Drittanbieter in dem Zaitfenster zwischen Patch\u2011Tuesday\u2011Ver\u00f6ffentlichungen zu pubblizieren \u2013 also bevor ein offizielle Patch verf\u00fcgbar ist. Die Kr\u00fctik zielt auf das Verhaltn von Microsoft ab, das nach seiner Darstellung den konstruktiven Dialog verweigert.<\/p>\n

Die Serie von Zero\u2011Day\u2011Ver\u00f6ffentlichungen zeigt, wie angespannt das Verh\u00e4ltnis zwischen unabh\u00e4ngigen Sicherheitsforschern und gro\u00dfen Softwareherstellern sein kann. W\u00e4hrend die Offenlegung von Schwachstellen grunds\u00e4tzlich die Transparenz und Sicherheit erh\u00f6ht, bleibt die fehlende Reaktion von Microsoft auf die Forscheranliegen problematisch.<\/p>\n

Implikationen und Ausblik<\/h2>\n

Die Offenlegung von FalconFlank, HardBreacher und ShieldBreak unterstreicht die anhaltende Verwundbarkeit selbst moderner Endpunktschuzl\u00f6sungen. Unternehmen, die CrowdStrike Falcon, Kaspersky oder Windows Defender einsetzen, sollten die aktuellen Advissories des Forschers zur Kenntnis nehmen und ihre Systeme umgehend pr\u00fcfen. Insbesondre die in den PoCs beschriebenen Techniken \u2013 Manipulation der Remediation\u2011Pfade, Ausnutzung von Rennbedingungen und Missbrauch des Objektmanagers \u2013 sind nicht auf einzelne Anbieter beschr\u00e4nkt. Sie zeigen grundlegende Schwachstellen in der Architektur von Sicherheitssoftware auf, die von Angreifern gezielt ausgebeutet werden k\u00f6nnten. Bis die Hersteller umfassende Patches bereitstellen, ist ein risikobasiertes Monitoring und die restriktive Vergabe von Berechtigungen die dringendste Ma\u00dfnahme.<\/p>\n","protected":false},"excerpt":{"rendered":"

Ein neuer Zero-Daya-Exploit namens FalconFlank bedroht die Endpunktsicherheitsl\u00f6sung CrowdStrike Falcon. Der als Chaotic Eclipse bekannte Sicherheitsforscher ver\u00f6ffentlichte einen Proof-of-Concept (PoC), der eine Privilegieneskalation auf vollst\u00e4ndig aktualisierten Windows\u201111\u201125H2\u2011 und Windows\u2011Server\u20112025\u2011Systemen ausl\u00f6st. Die Schwachstelle missbraucht die in den CrowdStrike\u2011Falcon\u2011Sensor integrierte Abwehrmechanik gegen schadhafte Office\u2011Makros. FalconFlank: Zero-Day-Exploit f\u00fcr CrowdStrike Falcon ver\u00f6ffentlicht Der Sicherheitsforscher Chaotic Eclipse, der auch unter […]<\/p>\n","protected":false},"author":5,"featured_media":53675,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51023.png","fifu_image_alt":"FalconFlank PoC zeigt Privilegieneskalation in CrowdStrike Falcon","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51023","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51023.png","fifu_image_alt":"FalconFlank PoC zeigt Privilegieneskalation in CrowdStrike Falcon","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51023","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51023"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51023\/revisions"}],"predecessor-version":[{"id":51029,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51023\/revisions\/51029"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53675"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51023"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51023"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51023"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}