CVE-2025-61156

CVE-2025-61156 在 ThreatFire System Monitor（v4.7.0.53）的内核模式 TfSysMon.sys 组件中发现了一个漏洞，允许非特权用户以内核模式权限执行任意进程终止操作。因此，PPL 和受保护的系统进程可以被强制停止，包括但不限于反恶意软件、EDR 解决方案、代理客户端等。这可能导致本地 EDR 绕过 和拒绝服务 。 如上所述，由于缺少适当的 DACL 来限制哪些用户能够或不能打开此驱动程序的 HANDLE，包括非管理员在内的低权限用户可以通过此易受攻击的驱动程序以内核权限自由终止 PPL 和其他受保护进程，或导致本地拒绝服务。...