CVE-2024-8885

Esta é uma falha de escalonamento local de privilégios no Sophos Intercept X com Central Device Encryption, onde uma fraqueza de desserialização insegura permite a gravação de arquivos arbitrários. A ironia pontual é que o software vulnerável é um produto de segurança e criptografia rodando com privilégio alto; abusar dele permite que um usuário local de baixo privilégio grave arquivos que não deveria, um clássico degrau para o controle total do host.

O vetor é local e precisa de um ponto de apoio existente de baixo privilégio, então isto não é um iniciador de intrusão — é aquilo que um atacante busca depois de aterrissar numa máquina para subir em direção ao SYSTEM. Gravação de arquivo arbitrário a partir de uma conta de baixo privilégio contra um agente de segurança altamente privilegiado é uma primitiva forte de escalonamento, e a mudança de escopo sinaliza que o impacto alcança além da fronteira do próprio componente.

Tratamos isto como escalonamento pós-comprometimento em endpoints e o priorizamos pela ótica do que roda em toda parte. Agentes de segurança de endpoint são implantados por toda a frota, então uma versão atrasada nesta correção é um caminho uniforme de escalonamento por muitas máquinas. O controle é simples — manter o agente Sophos atualizado por todo o parque — mas o classificamos seriamente porque ele transforma qualquer pequeno ponto de apoio local numa rota para a tomada total do host.