CVE-2011-3402
Microsoft Windows Remote Code Execution Vulnerability
Beschreibung
CVE-2011-3402 ist eine kritische Schwachstelle in der TrueType-Font-Parsing-Engine (win32k.sys) im Windows-Kernel. Die Schwachstelle ermoeglicht es einem entfernten Angreifer, ueber speziell praeparierte Schriftdaten in einem Word-Dokument oder auf einer Webseite beliebigen Code auf dem Zielsystem auszufuehren. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 89,22 % (99,5. Perzentil) gehoert diese Schwachstelle zu den gefaehrlichsten Windows-Kernel-Schwachstellen. Die CISA hat CVE-2011-3402 in den KEV-Katalog aufgenommen, und die Schwachstelle wurde als Zero-Day im November 2011 aktiv ausgenutzt, insbesondere im Zusammenhang mit der Duqu-Malware.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows server 2003 | - |
| microsoft | windows server 2008 | - |
| microsoft | windows vista | - |
| microsoft | windows xp | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://blogs.mcafee.com/mcafee-labs/the-day-of-the-golden-jackal-%E2%80%93-further-tales-of-the-stuxnet-files(Broken Link)
- http://blogs.technet.com/b/msrc/archive/2011/11/03/microsoft-releases-security-advisory-2639658.aspx(Vendor Advisory)
- http://isc.sans.edu/diary/Duqu+Mitigation/11950(Third Party Advisory)
- http://secunia.com/advisories/49121(Vendor Advisory)
- http://secunia.com/advisories/49122(Vendor Advisory)
- http://technet.microsoft.com/security/advisory/2639658(Vendor Advisory)
- http://www.securelist.com/en/blog/208193197/The_Mystery_of_Duqu_Part_Two(Not Applicable)
- http://www.securitytracker.com/id?1027039(Broken Link)
- http://www.symantec.com/connect/w32-duqu_status-updates_installer-zero-day-exploit(Not Applicable)
- http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_duqu_the_precursor_to_the_next_stuxnet.pdf(Not Applicable)
- http://www.us-cert.gov/cas/techalerts/TA11-347A.html(US Government Resource)
- http://www.us-cert.gov/cas/techalerts/TA12-129A.html(US Government Resource)
- http://www.us-cert.gov/cas/techalerts/TA12-164A.html(US Government Resource)
- http://www.us-cert.gov/control_systems/pdf/ICS-ALERT-11-291-01E.pdf(US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2011/ms11-087(Vendor Advisory)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-034(Vendor Advisory)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-039(Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A13998(Broken Link)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A15290(Broken Link)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A15645(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2011-3402(US Government Resource)
Schwachstellentyp
Keine spezifische CWE-Zuordnung
Fuer CVE-2011-3402 wurde keine spezifische CWE-Schwachstellenklasse zugewiesen. Die Schwachstelle befindet sich in der TrueType-Font-Parsing-Engine im Kernelmodul win32k.sys. Fehler bei der Verarbeitung von Schriftdaten in Kerneltreibern sind besonders kritisch, da sie ohne Benutzerinteraktion jenseits des Oeffnens eines Dokuments oder einer Webseite ausgenutzt werden koennen und direkt zu Code-Ausfuehrung mit Kernel-Privilegien fuehren. Die Schwachstelle faellt in die allgemeine Kategorie der Speicherkorruption bei der Verarbeitung nicht vertrauenswuerdiger Eingabedaten.
Auswirkungsanalyse
Remote Code Execution mit Kernel-Privilegien: Die kritischste Auswirkung ist die Moeglichkeit, beliebigen Code mit Kernel-Privilegien auf dem Zielsystem auszufuehren. Da die Schwachstelle in win32k.sys liegt, das im Kernel-Modus laeuft, erhaelt der Angreifer direkt die hoechsten Systemprivilegien. Vertraulichkeit (C:H) - Mit Kernel-Rechten hat der Angreifer uneingeschraenkten Zugriff auf den gesamten Systemspeicher, alle Dateien, Registry-Eintraege und Netzwerkressourcen. Integritaet (I:H) - Der Angreifer kann beliebige Systemkomponenten modifizieren, Rootkits installieren und saemtliche Sicherheitsmechanismen umgehen. Verfuegbarkeit (A:H) - Das System kann vollstaendig uebernommen, zerstoert oder fuer weitere Angriffe als Sprungbrett missbraucht werden.
Vielfaeltige Angriffsvektoren: Die Schwachstelle kann ueber mehrere Wege ausgeloest werden: Durch das Oeffnen eines manipulierten Word-Dokuments, den Besuch einer manipulierten Webseite oder jede andere Anwendung, die eingebettete TrueType-Fonts rendert. Dies macht den Angriff besonders vielseitig und schwer abzuwehren. Die Benutzerinteraktion beschraenkt sich auf das Oeffnen eines Dokuments oder Webseitenbesuchs (UI:R).
EPSS und Duqu-Verbindung: Der EPSS-Score von 89,22 % (99,5. Perzentil) zeigt, dass CVE-2011-3402 zu den Top 0,5 % der am wahrscheinlichsten ausgenutzten Schwachstellen gehoert. Die Schwachstelle wurde im Zusammenhang mit der Duqu-Malware bekannt, einer hochentwickelten Spionage-Malware, die als Nachfolger von Stuxnet gilt. Der Ransomware-Status ist als Unknown klassifiziert.
Exploit-Reifegrad
CVE-2011-3402 weist die hoechste Exploit-Reife auf. Die Schwachstelle wurde als Zero-Day im November 2011 aktiv ausgenutzt, primaer durch die Duqu-Malware, eine hochentwickelte Spionage-Plattform, die von staatlichen Akteuren eingesetzt wurde. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und der EPSS-Score von 89,22 % (99,5. Perzentil) bestaetigt die extrem hohe Ausnutzungswahrscheinlichkeit.
Duqu-Malware und Stuxnet-Verbindung: Die Schwachstelle erlangte besondere Bekanntheit durch ihre Verbindung zur Duqu-Malware, die von Kaspersky Lab und anderen Sicherheitsforschern als eng verwandt mit Stuxnet identifiziert wurde. McAfee dokumentierte die Verbindung in ihrer Analyse unter dem Titel The Day of the Golden Jackal. Die Duqu-Malware nutzte speziell praeparierte Word-Dokumente mit eingebetteten TrueType-Fonts, um die Schwachstelle auszuloesen und Spionage-Payloads zu installieren.
Microsoft Response: Microsoft veroeffentlichte zunaechst das Security Advisory 2639658 als Workaround und stellte spaeter einen vollstaendigen Patch bereit. Das SANS Internet Storm Center dokumentierte die Schwachstelle und Mitigationsmassnahmen.
Ransomware-Verbindung: Der Ransomware-Status ist als Unknown klassifiziert. Die Schwachstelle wurde primaer in hochentwickelten Spionagekampagnen eingesetzt, jedoch koennte die Technik der Font-basierten Kernel-Exploitation auch von anderen Bedrohungsakteuren adaptiert worden sein.
Behebung
-
Microsoft-Sicherheitsupdate installieren: Installieren Sie das Sicherheitsupdate, das die Schwachstelle in der TrueType-Font-Parsing-Engine behebt. Microsoft hat den Patch im Rahmen des Security Bulletins MS12-034 bereitgestellt. Konsultieren Sie das Security Advisory 2639658 fuer spezifische Informationen und KB-Nummern.
-
Betriebssystem auf aktuelle Version migrieren: Alle betroffenen Betriebssysteme (Windows XP, Server 2003, Vista, Server 2008, Windows 7) haben ihr End-of-Life erreicht oder naehern sich diesem. Migrieren Sie umgehend auf ein aktuell unterstuetztes Betriebssystem wie Windows 10/11 oder Windows Server 2019/2022, das eine grundlegend ueberarbeitete Font-Verarbeitung mit zusaetzlichen Schutzmechanismen bietet.
-
T2EMBED.DLL-Zugriff einschraenken: Als sofortige Mitigationsmassnahme koennen Sie den Zugriff auf die T2EMBED.DLL einschraenken, die fuer das Einbetten von TrueType-Fonts verwendet wird. Microsoft beschreibt diesen Workaround im Security Advisory 2639658. Dies verhindert die Verarbeitung eingebetteter Fonts, kann jedoch die Darstellung einiger Dokumente beeintraechtigen.
-
Enhanced Protected Mode und EMET einsetzen: Aktivieren Sie den Enhanced Protected Mode im Internet Explorer und setzen Sie das Enhanced Mitigation Experience Toolkit (EMET) ein. EMET kann Exploit-Techniken wie Return-Oriented Programming (ROP) blockieren, die bei der Ausnutzung von Kernel-Schwachstellen eingesetzt werden.
-
E-Mail-Sicherheit verstaerken: Da die Schwachstelle ueber manipulierte Word-Dokumente ausgenutzt wurde, implementieren Sie strenge E-Mail-Filterregeln fuer Office-Anhaenge. Konfigurieren Sie Microsoft Office so, dass Dokumente aus dem Internet standardmaessig in der geschuetzten Ansicht geoeffnet werden, und blockieren Sie das automatische Laden eingebetteter Fonts.
Technische Details
Die Schwachstelle befindet sich in der TrueType-Font-Parsing-Engine im Kernelmodul win32k.sys, dem zentralen Windows-Kernel-Mode-Grafiktreiber. Dieser Treiber verarbeitet unter anderem eingebettete TrueType-Fonts, die in Dokumenten oder Webseiten enthalten sind.
Ursache der Schwachstelle: Bei der Verarbeitung speziell praeparierter TrueType-Font-Instruktionen in win32k.sys tritt ein Speicherkorruptionsfehler auf. TrueType-Fonts enthalten ein Bytecode-Programm (Hinting Instructions), das vom Font-Rasterizer im Kernel-Modus ausgefuehrt wird. Durch manipulierte Font-Instruktionen kann ein Angreifer den Rasterizer dazu bringen, Speicherzugriffe ausserhalb der vorgesehenen Grenzen durchzufuehren, was zu einer kontrollierbaren Kernel-Speicherkorruption fuehrt.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N), aber eine Benutzerinteraktion (UI:R) in Form des Oeffnens eines Dokuments oder Webseitenbesuchs. Der Scope ist unveraendert (S:U), und alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H). Die niedrige Komplexitaet erklaert sich dadurch, dass die Font-Verarbeitung automatisch beim Oeffnen des Dokuments erfolgt.
Exploit-Mechanismus der Duqu-Malware: Die Duqu-Malware verwendete speziell praeparierte Word-Dokumente (.doc) mit eingebetteten TrueType-Fonts, die manipulierte Hinting Instructions enthielten. Beim Oeffnen des Dokuments verarbeitete win32k.sys die Font-Daten im Kernel-Modus, was die Speicherkorruption ausloeste. Der Exploit nutzte anschliessend Return-Oriented Programming (ROP) Techniken, um die Kernel-ASLR zu umgehen und Shellcode mit Kernel-Privilegien auszufuehren.
Betroffene Systeme: Windows XP SP2 und SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2, R2 und R2 SP1, sowie Windows 7 Gold und SP1. Die Schwachstelle betrifft eine Kernkomponente des Windows-Grafiksubsystems, die auf allen betroffenen Plattformen identisch ist.
Häufig gestellte Fragen
Was ist die Duqu-Malware und wie haengt sie mit CVE-2011-3402 zusammen?
Duqu ist eine hochentwickelte Spionage-Malware, die 2011 entdeckt wurde und enge technische Verwandtschaft mit Stuxnet aufweist. CVE-2011-3402 war der primaere Angriffsvektor fuer die Erstinfektion: Die Angreifer versandten manipulierte Word-Dokumente mit eingebetteten TrueType-Fonts, die beim Oeffnen die Kernel-Schwachstelle ausloesten und Duqu auf dem Zielsystem installierten.
Sind aktuelle Windows-Versionen von dieser Schwachstelle betroffen?
Nein, Windows 10 und Windows 11 sind nicht betroffen. Microsoft hat die TrueType-Font-Verarbeitung in neueren Windows-Versionen grundlegend ueberarbeitet und zusaetzliche Schutzmechanismen wie Kernel-ASLR, Control Flow Guard und eine isolierte Font-Verarbeitung implementiert, die solche Angriffe erheblich erschweren.
Warum ist eine Schwachstelle in der Font-Verarbeitung so gefaehrlich?
Die TrueType-Font-Verarbeitung findet in win32k.sys im Kernel-Modus statt, was bedeutet, dass ein erfolgreicher Exploit direkt Kernel-Privilegien erlangt - die hoechsten Berechtigungen im System. Zudem werden Fonts automatisch beim Oeffnen von Dokumenten oder Webseiten verarbeitet, ohne dass eine explizite Benutzeraktion ueber das Oeffnen hinaus erforderlich ist.
Wie kann ich pruefen, ob mein System den Patch fuer CVE-2011-3402 installiert hat?
Ueberpruefen Sie den installierten Patch-Stand ueber Windows Update oder die Liste der installierten Updates in der Systemsteuerung. Alternativ koennen Sie Schwachstellenscanner einsetzen, die den Patch-Status automatisch pruefen. Fuer die betroffenen Windows-Versionen sollte mindestens das Security Bulletin MS12-034 installiert sein.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.