Elastic製EDRに新たなRCEおよびDoSのゼロデイ、研究者が報告

Elastic製EDRに新たなRCEおよびDoSのゼロデイ、研究者が報告

Cybersecuritynews[.]com – August 17, 2025

Elastic製EDRソリューションに見つかった新たなゼロデイ脆弱性により、セキュリティ措置をバイパスして悪意あるコードを実行し、BSODエラーを引き起こすことが可能になるという。Ashes Cybersecurityが報告した。

Ashes Cybersecurityによれば、問題のゼロデイはNULLポインタデリファレンスに関する脆弱性。具体的には、マイクロソフトによって署名されたElastic製EDRの正規カーネルドライバ「elastic-endpoint-driver.sys」が、特権カーネルルーチン内のメモリ操作を適切に処理できない問題だとされる。特定の条件下において、ユーザーモードで制御可能なポインタが適切な検証なしにカーネル関数に渡され、このポインタがNULLであるか解放済みであるか、または破損している場合、カーネルがこれを参照しようとしてシステム全体のクラッシュ（BSOD）を引き起こすという。

Ashes Cybersecurityが想定する攻撃はまず、攻撃者がカスタムローダーを使ってEDRをバイパスするところからスタート。EDRが無効化されると、検知されたりブロックされたりすることなくシステム上で有害なコードを実行できるようになる。その後攻撃者は、脆弱なドライバ（elastic-endpoint-driver.sys）とのインタラクトが可能なカスタムのカーネルドライバを展開して永続性を確保。最後に、特権状態で永続的なサービス拒否を起こさせてシステムを繰り返しクラッシュさせる流れだという。Ashes Cybersecurityの研究者らはカスタムビルドのPoCエクスプロイトを作成し、テスト環境でこの脆弱性をトリガーすることができた旨を報告している。

マイクロソフトに署名され、信頼されたカーネルドライバが上記のような武器に変えられてしまう恐れがあるという事実は、Elastic社のSIEM／EDRソリューションを利用する企業にとって重大リスクとなり得る。影響を受けるのはバージョン8.17.6のelastic-endpoint-driver.sysだとされるが、それ以降のバージョンも脆弱だろうと考えられている。パッチはまだリリースされていないとのこと。

【無料配布中！】インテリジェンス要件定義ガイド

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価