CVE-2010-4398
Microsoft Windows Kernel Stack-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2010-4398 ist eine Privilege-Escalation-Schwachstelle im Microsoft-Windows-Kernel, die Windows XP SP3, Vista SP1 und SP2, Server 2003 SP2, Server 2008 und Windows 7 betrifft. Der Fehler resultiert aus einer unsachgemäßen Validierung von Daten, die aus dem Benutzermodus übergeben werden, und ermöglicht es einem lokal authentifizierten Angreifer, beliebigen Code im Kernelmodus mit erhöhten Berechtigungen auszuführen. Mit einem EPSS-Score von 0,08 % (37,3. Perzentil) wurde diese Schwachstelle in Post-Exploitation-Szenarien gezielt eingesetzt. Die CISA hat CVE-2010-4398 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows server 2003 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows vista | - |
| microsoft | windows xp | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://isc.sans.edu/diary.html?storyid=9988(Exploit, Issue Tracking)
- http://nakedsecurity.sophos.com/2010/11/25/new-windows-zero-day-flaw-bypasses-uac/(Broken Link)
- http://secunia.com/advisories/42356(Broken Link, Vendor Advisory)
- http://support.avaya.com/css/P8/documents/100127248(Third Party Advisory)
- http://twitter.com/msftsecresponse/statuses/7590788200402945(Not Applicable)
- http://www.exploit-db.com/bypassing-uac-with-user-privilege-under-windows-vista7-mirror/(Broken Link, Exploit, Third Party Advisory, VDB Entry)
- http://www.exploit-db.com/exploits/15609/(Exploit, Third Party Advisory, VDB Entry)
- http://www.kb.cert.org/vuls/id/529673(Third Party Advisory, US Government Resource)
- http://www.securityfocus.com/bid/45045(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id?1025046(Broken Link, Third Party Advisory, VDB Entry)
- http://www.vupen.com/english/advisories/2011/0324(Broken Link)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2011/ms11-011(Patch, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A12162(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2010-4398(US Government Resource)
Schwachstellentyp
CWE-20: Improper Input Validation
CVE-2010-4398 wird durch unsachgemäße Eingabevalidierung im Windows-Kernel verursacht. Der Kernel validiert einen vom Benutzermodus übergebenen Puffer nicht angemessen, wodurch ein lokaler Angreifer fehlerhafte Daten liefern kann, die einen Kernel-Modus-Pufferüberlauf auslösen und die Ausführung beliebigen Codes mit erhöhten Berechtigungen ermöglichen.
Mehr erfahren: CWE-20 — Improper Input Validation
Auswirkungsanalyse
CVE-2010-4398 hat einen CVSS-v2-Basiswert von 7,2 (Hoch), der die schwerwiegenden Auswirkungen der Kernelmodus-Codeausführung widerspiegelt. Obwohl die Ausnutzung lokalen Zugriff und eine authentifizierte Sitzung erfordert, erhält der Angreifer volle SYSTEM-Berechtigungen, die die vollständige Kontrolle über das betroffene System ermöglichen. Der EPSS-Score von 0,08 % (37,3. Perzentil) zeigt eine begrenzte, aber gezielte Ausnutzung an, die mit der Post-Exploitation-Verwendung in fortschrittlichen Angriffsketten konsistent ist. Die Kernel-Privilege-Escalation ist besonders gefährlich, da sie alle Benutzermodus-Sicherheitskontrollen umgeht und zur Deaktivierung von Sicherheitssoftware und zum Zugriff auf alle Systemdaten verwendet werden kann.
Exploit-Reifegrad
CVE-2010-4398 wurde in gezielten Angriffen als Privilege-Escalation-Schritt nach der initialen Systemkompromittierung ausgenutzt. Die CISA bestätigte die aktive Ausnutzung durch Aufnahme in den KEV-Katalog. Die Schwachstelle wurde im Kontext fortschrittlicher persistenter Bedrohungsoperationen dokumentiert, bei denen Angreifer Kernel-Exploits nach dem Erlangen des initialen Benutzerzugriffs einsetzen. Der EPSS-Score von 0,08 % spiegelt die spezialisierte Natur der Kernel-Ausnutzung wider.
Behebung
- Microsoft-Sicherheitsupdate MS11-011 anwenden, das die Kernel-Privilege-Escalation-Schwachstelle behebt. Stellen Sie sicher, dass alle betroffenen Windows-Systeme gepatcht sind.
- Legacy-Betriebssysteme aktualisieren, einschließlich Windows XP, Vista, Server 2003 und Server 2008, auf aktuell unterstützte Windows-Versionen, da diese Systeme keine Sicherheitsupdates mehr erhalten.
- Least-Privilege-Zugriff durchsetzen in der gesamten Organisation, wobei sichergestellt wird, dass Benutzer keine Administratorrechte für Routineaufgaben haben, was den Nutzen von Privilege-Escalation-Exploits einschränkt.
- Kernel-Exploit-Erkennung bereitstellen durch EDR-Lösungen, die verdächtige Kernelmodus-Aktivitäten, Systemaufruf-Anomalien und Privilege-Escalation-Muster überwachen.
- Netzwerksegmentierung implementieren, um Legacy-Systeme zu isolieren, die nicht sofort aktualisiert werden können, wodurch die Angriffsfläche reduziert und laterale Bewegungsmöglichkeiten eingeschränkt werden.
Technische Details
CVE-2010-4398 ist eine Privilege-Escalation-Schwachstelle (CWE-20) im Microsoft-Windows-Kernel, die durch unsachgemäße Validierung eines vom Benutzermodus gelieferten Puffers verursacht wird. Wenn eine lokale Anwendung bestimmte Systemaufrufe durchführt, kopiert der Kernel benutzerdefinierte Daten in einen Kernelmodus-Puffer, ohne deren Größe oder Inhalt ordnungsgemäß zu validieren. Diese unsachgemäße Validierung ermöglicht es einem Angreifer, Eingaben zu erstellen, die den Kernel-Puffer überlaufen lassen und benachbarte Kernel-Speicherstrukturen beschädigen. Durch sorgfältige Kontrolle der Überlaufdaten kann der Angreifer Funktionszeiger oder andere kritische Kernel-Datenstrukturen überschreiben, um die Ausführung auf vom Angreifer kontrollierten Code mit vollen Kernel-Berechtigungen umzuleiten.
Häufig gestellte Fragen
Wird CVE-2010-4398 aktiv ausgenutzt?
Ja, die CISA hat die aktive Ausnutzung durch Aufnahme von CVE-2010-4398 in den Katalog der bekannten ausgenutzten Schwachstellen bestätigt. Die Schwachstelle wurde in fortschrittlichen Angriffsketten für die Privilege-Escalation nach der initialen Kompromittierung eingesetzt.
Welche Produkte sind von CVE-2010-4398 betroffen?
Microsoft Windows XP SP3, Vista SP1 und SP2, Server 2003 SP2, Server 2008 (verschiedene Konfigurationen) und Windows 7 sind betroffen. Die Schwachstelle befindet sich im Kern des Windows-Kernels.
Wie behebe ich CVE-2010-4398?
Wenden Sie das Microsoft-Sicherheitsupdate MS11-011 an. Da die betroffenen Betriebssysteme das Ende ihrer Lebensdauer erreicht haben, wird die Migration auf eine aktuell unterstützte Windows-Version dringend empfohlen.
Wie schwerwiegend ist CVE-2010-4398?
CVE-2010-4398 hat einen CVSS-v2-Score von 7,2 (Hoch) und ermöglicht die Privilege-Escalation von einem Standard-Benutzerkonto zur Kernelmodus-Ausführung mit SYSTEM-Berechtigungen. Obwohl lokaler Zugriff erforderlich ist, bietet sie das höchstmögliche Berechtigungsniveau auf dem betroffenen System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.