【网络安全】CrowdStrike 的 Falcon Sensor 软件导致 Linux 内核崩溃

news2024/11/24 18:28:38

CrowdStrike的Falcon Sensor软件，上周导致大量Windows电脑出现蓝屏故障，现在还被发现Linux内核系统崩溃也与CrowdStrike有关。
六月份，Red Hat警告其客户在使用版本为5.14.0-427.13.1.el9_4.x86_64的内核启动后，由Falcon Sensor进程引发的“Kernel panic”问题，影响了部分Red Hat Enterprise Linux 9.4用户。
第二个问题报告标题为“在cshook_network_ops_inet6_sockraw_release+0x171a9处系统崩溃”，建议用户寻求帮助以解决CrowdStrike Falcon Sensor/Agent安全软件套件提供的内核模块可能引起的问题。
Red Hat还建议，“禁用CrowdStrike Falcon Sensor/Agent软件套件……将有助于缓解问题，并让系统暂时稳定”。这个问题不仅限于特定版本，在其他的版本中也有发现。
我们也发现了CrowdStrike疑似在Debian和Rocky Linux中引起问题的报告。Linux Kernel panic与Windows蓝屏死机大致相似。CrowdStrike在导致许多Windows系统崩溃前几周就发生了Kernel panic。

CrowdStrike的CEO负责过非常相似的McAfee崩溃事件

2010年，全球PC因反病毒供应商McAfee推送错误更新而崩溃，导致电脑陷入无休止的重启循环。
当时，McAfee的首席技术官是George Kurtz，他现在担任CrowdStrike的CEO。

微软已经推出快速恢复工具

报道显示，微软估计CrowdStrike的更新影响了850万台Windows设备，占比不到1%。微软称，“虽然比例很小，但对经济和社会造成的影响反映了许多企业在使用CrowdStrike。”
微软也创建了一个可从可引导USB存储设备运行的修复工具。
微软的恢复工具会通过 USB 启动 Windows PE 环境，访问受影响机器的磁盘，并自动删除有问题的 CrowdStrike 文件，从而简化该恢复过程。
这样一来，无需进入安全模式或拥有机器的管理员权限，该工具就可以直接访问磁盘而无需启动本地 Windows 系统。
如果磁盘受到 BitLocker 加密保护，工具将提示输入 BitLocker 恢复密钥，然后继续修复 CrowdStrike 更新。

CrowdStrike也发布通知，正在进行紧急修复

在这里插入图片描述
CrowdStrike 正在积极协助受最近Windows主机内容更新缺陷影响的客户。Mac和Linux主机未受影响。问题已经查明并隔离，修复措施也已部署。这并非网络攻击事件。

建议客户检查支持门户获取更新信息。我们也会继续在此处及我们的博客上提供最新信息。我们建议各组织确认他们正通过官方渠道与CrowdStrike代表沟通。
在这里插入图片描述
我们向客户保证，CrowdStrike运营正常，此问题并未影响我们的Falcon平台系统。如果您的系统运行正常，安装了Falcon传感器的情况下，它们的防护不会受到影响。