CVE-2011-2005
Microsoft Ancillary Function Driver (afd.sys) Improper Input Validation Vulnerability
Beschreibung
CVE-2011-2005 ist eine Privilege-Escalation-Schwachstelle im Ancillary Function Driver (afd.sys) in Microsoft Windows XP SP2 und SP3 sowie Windows Server 2003 SP2. Der Fehler ermöglicht es einem lokal authentifizierten Angreifer, Berechtigungen auf SYSTEM-Ebene zu erhöhen, indem die unsachgemäße Validierung benutzerdefinierter Eingaben im AFD-Treiber ausgenutzt wird. Mit einem EPSS-Score von 0,1 % (49,3. Perzentil) wurde diese Schwachstelle gezielt ausgenutzt. Die CISA hat CVE-2011-2005 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows server 2003 | - |
| microsoft | windows xp | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2011/ms11-080(Patch, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A13114(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2011-2005(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
CVE-2011-2005 ist eine Privilege-Escalation-Schwachstelle, die durch unsachgemäße Berechtigungsverwaltung im Windows Ancillary Function Driver (afd.sys) verursacht wird. Der Kernel-Modus-Treiber validiert Eingaben aus dem Benutzermodus nicht ordnungsgemäß, wodurch ein lokaler Angreifer Treiberoperationen manipulieren und Code mit erhöhten SYSTEM-Berechtigungen ausführen kann.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2011-2005 hat einen CVSS-v2-Basiswert von 7,2 (Hoch), der die erheblichen Auswirkungen einer lokalen Privilege-Escalation auf SYSTEM-Ebene widerspiegelt. Obwohl der Angriff lokalen Zugriff und ein authentifiziertes Benutzerkonto erfordert, gewährt eine erfolgreiche Ausnutzung dem Angreifer die höchsten Berechtigungen auf dem System, einschließlich der vollständigen Kontrolle über Programme, Daten und Benutzerkonten. Der EPSS-Score von 0,1 % (49,3. Perzentil) zeigt eine gezielte, aber weniger verbreitete Ausnutzung im Vergleich zu Remote-Schwachstellen an. Privilege-Escalation-Schwachstellen sind jedoch kritische Komponenten in Angriffsketten, die häufig nach dem initialen Zugriff zur vollständigen Systemkompromittierung eingesetzt werden.
Exploit-Reifegrad
CVE-2011-2005 wurde als Privilege-Escalation-Komponente in mehrstufigen Angriffen ausgenutzt. Die CISA bestätigte die aktive Ausnutzung durch Aufnahme in den KEV-Katalog. Lokale Privilege-Escalation-Exploits für Windows-Kernel-Treiber sind für Bedrohungsakteure wertvoll für Post-Exploitation-Aktivitäten und werden häufig in Angriffs-Toolkits integriert. Der EPSS-Score von 0,1 % spiegelt die gezielte Natur der Ausnutzung wider.
Behebung
- Microsoft-Sicherheitsupdate MS11-080 anwenden, das die Privilege-Escalation-Schwachstelle im Ancillary Function Driver behebt. Stellen Sie sicher, dass alle betroffenen Windows-XP- und Server-2003-Systeme gepatcht sind.
- Von Windows XP und Windows Server 2003 migrieren, da diese Betriebssysteme seit Langem das Ende ihrer Lebensdauer erreicht haben und keine Sicherheitsupdates mehr erhalten. Aktualisieren Sie auf eine aktuell unterstützte Windows-Version.
- Least-Privilege-Prinzipien implementieren, indem sichergestellt wird, dass Benutzer für tägliche Aktivitäten mit Standard-Konten (ohne Administratorrechte) arbeiten, um die Auswirkungen lokaler Privilege-Escalation-Angriffe zu begrenzen.
- Endpoint-Detection-and-Response-Lösungen (EDR) bereitstellen, die Privilege-Escalation-Versuche und verdächtige Kernel-Treiber-Interaktionen erkennen können.
- Legacy-Systeme segmentieren und isolieren, die nicht sofort aktualisiert werden können, ihren Netzwerkzugriff einschränken und sie auf verdächtige Aktivitäten überwachen.
Technische Details
CVE-2011-2005 ist eine Privilege-Escalation-Schwachstelle (CWE-269) im Ancillary Function Driver (afd.sys), einem Kernel-Modus-Treiber in Microsoft Windows, der Windows-Sockets-Anwendungen unterstützt. Die Schwachstelle besteht, weil der AFD-Treiber Eingaben aus dem Benutzermodus bei der Verarbeitung bestimmter I/O-Control-Anfragen (IOCTL) nicht ordnungsgemäß validiert. Ein lokal authentifizierter Angreifer kann spezifische IOCTL-Aufrufe an den AFD-Treiber senden, die unsachgemäße Speicheroperationen im Kernel-Raum verursachen, wodurch der Angreifer Kernel-Speicher überschreiben und beliebigen Code mit SYSTEM-Berechtigungen ausführen kann.
Häufig gestellte Fragen
Wird CVE-2011-2005 aktiv ausgenutzt?
Ja, die CISA hat die aktive Ausnutzung durch Aufnahme von CVE-2011-2005 in den Katalog der bekannten ausgenutzten Schwachstellen bestätigt. Die Schwachstelle wird als Privilege-Escalation-Komponente in mehrstufigen Angriffen eingesetzt.
Welche Produkte sind von CVE-2011-2005 betroffen?
Microsoft Windows XP SP2 und SP3 sowie Windows Server 2003 SP2 sind betroffen. Die Schwachstelle befindet sich in der Kernel-Komponente Ancillary Function Driver (afd.sys).
Wie behebe ich CVE-2011-2005?
Wenden Sie das Microsoft-Sicherheitsupdate MS11-080 an. Da Windows XP und Server 2003 das Ende ihrer Lebensdauer erreicht haben, wird die Migration auf ein aktuell unterstütztes Windows-Betriebssystem empfohlen.
Wie schwerwiegend ist CVE-2011-2005?
CVE-2011-2005 hat einen CVSS-v2-Score von 7,2 (Hoch) und ermöglicht lokale Privilege-Escalation auf SYSTEM-Ebene. Obwohl lokaler Zugriff erforderlich ist, gibt die Erlangung von SYSTEM-Berechtigungen dem Angreifer die vollständige Kontrolle über die betroffene Maschine.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.