CVE-2013-3660
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2013-3660 ist eine Privilege-Escalation-Schwachstelle (CWE-269) im Microsoft Windows Win32k-Kernel-Mode-Treiber, die es einem lokalen Angreifer ermöglicht, durch Ausnutzung eines Fehlers in der Funktion EPATHOBJ::pprFlattenRec beliebigen Code mit SYSTEM-Rechten auszuführen. Die Schwachstelle entsteht durch fehlerhafte Verarbeitung von Pfadobjekten während Grafikrenderingoperationen, wodurch ein lokaler Benutzer von Standard-Benutzerrechten auf vollständigen Kernel-Level-Zugriff eskalieren kann. CISA hat die aktive Ausnutzung bestätigt und CVE-2013-3660 in den KEV-Katalog aufgenommen. Mit einem EPSS-Score von 69,2 % (71,9. Perzentile) stellt diese Schwachstelle ein erhebliches lokales Privilege-Escalation-Risiko dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows 8 | - |
| microsoft | windows rt | - |
| microsoft | windows server 2003 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | - |
| microsoft | windows vista | - |
| microsoft | windows xp | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://archives.neohapsis.com/archives/fulldisclosure/2013-05/0090.html(Broken Link)
- http://archives.neohapsis.com/archives/fulldisclosure/2013-05/0094.html(Broken Link)
- http://archives.neohapsis.com/archives/fulldisclosure/2013-06/0006.html(Broken Link)
- http://secunia.com/advisories/53435(Broken Link, Vendor Advisory)
- http://twitter.com/taviso/statuses/309157606247768064(Exploit)
- http://twitter.com/taviso/statuses/335557286657400832(Not Applicable)
- http://www.computerworld.com/s/article/9239477(Broken Link)
- http://www.exploit-db.com/exploits/25611/(Exploit, Third Party Advisory, VDB Entry)
- http://www.osvdb.org/93539(Broken Link)
- http://www.reddit.com/r/netsec/comments/1eqh66/0day_windows_kernel_epathobj_vulnerability/(Exploit, Issue Tracking)
- http://www.theverge.com/2013/5/23/4358400/google-engineer-bashes-microsoft-discloses-windows-flaw(Press/Media Coverage)
- http://www.us-cert.gov/ncas/alerts/TA13-190A(Third Party Advisory, US Government Resource)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2013/ms13-053(Patch, Vendor Advisory)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A17360(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-3660(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
CWE-269 beschreibt eine Schwachstelle, bei der Software Berechtigungen für einen Akteur nicht ordnungsgemäß zuweist, ändert, verfolgt oder prüft und so unautorisierte Privilegieneskalation ermöglicht. Bei CVE-2013-3660 validiert und verwaltet der Win32k-Kernel-Mode-Treiber Objektreferenzen während Pfad-Flattening-Operationen nicht ordnungsgemäß, wodurch ein lokaler Angreifer Kernel-Speicher korrumpieren und beliebigen Code mit erhöhten Rechten ausführen kann.
Weitere Informationen: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2013-3660 ermöglicht es einem lokal authentifizierten Angreifer, Berechtigungen von einem Standard-Benutzerkonto auf SYSTEM-Level-Zugriff durch Ausnutzung des Win32k-Kernel-Treibers zu eskalieren. Die Win32k-Komponente läuft im Kernel-Modus, sodass eine erfolgreiche Ausnutzung dem Angreifer Ring-0-Codeausführung und vollständige Kontrolle über das Betriebssystem gewährt. Vertraulichkeit, Integrität und Verfügbarkeit sind vollständig kompromittiert: Der Angreifer kann auf alle Dateien und Zugangsdaten zugreifen, Kernel-Level-Rootkits installieren, die für User-Mode-Sicherheitstools unsichtbar sind, beliebige Daten modifizieren oder löschen und das System funktionsunfähig machen. Die Schwachstelle ist besonders wertvoll in Post-Exploitation-Szenarien, bei denen ein Angreifer initialen Zugang über einen Browser-Exploit erlangt hat und Privilegieneskalation für persistenten Systemzugriff benötigt.
Exploit-Reifegrad
CVE-2013-3660 wird laut CISA aktiv in der freien Wildbahn ausgenutzt und ist im KEV-Katalog gelistet. Detaillierter Proof-of-Concept-Exploit-Code, der auf die Funktion EPATHOBJ::pprFlattenRec abzielt, ist seit der Veröffentlichung der Schwachstelle öffentlich verfügbar, und die Ausnutzungstechnik wurde von Sicherheitsforschern ausführlich dokumentiert. Der EPSS-Score von 69,2 % (71,9. Perzentile) reflektiert bedeutsame reale Exploit-Aktivität. Win32k-Privilege-Escalation-Schwachstellen sind bei Angreifern hochgeschätzt aufgrund des direkten Pfades von User-Mode- zu Kernel-Mode-Ausführung.
Behebung
- Installieren Sie das Microsoft-Sicherheitsupdate MS13-053 (Juli 2013), um die Win32k-Schwachstelle auf allen betroffenen Windows-Systemen sofort zu patchen.
- Implementieren Sie das Prinzip der geringsten Berechtigung für alle Benutzerkonten, um die Auswirkungen von Privilege-Escalation-Schwachstellen zu begrenzen und die Angriffsoberfläche zu reduzieren.
- Setzen Sie Endpoint-Detection-and-Response-Tools (EDR) mit Kernel-Level-Sichtbarkeit ein, um Win32k-Exploitationsversuche zu erkennen, die typischerweise spezifische Systemaufrufmuster im Zusammenhang mit GDI-Objektmanipulation beinhalten.
- Aktivieren Sie Kernel-Mode Code Integrity (KMCI) und Virtualization-based Security (VBS) auf Windows 10 und später, um zusätzlichen Schutz gegen Kernel-Level-Exploitation zu bieten.
- Führen Sie eine umfassende Prüfung aller Systeme durch, die noch für CVE-2013-3660 anfällige Windows-Versionen verwenden, und priorisieren Sie die Migration zu vollständig gepatchten, unterstützten Betriebssystemversionen.
Technische Details
CVE-2013-3660 ist eine Privilege-Escalation-Schwachstelle im Win32k-Kernel-Mode-Treiber (win32k.sys), verursacht durch eine ausnutzbare Bedingung in der Funktion EPATHOBJ::pprFlattenRec, die für das Abflachen von Bézier-Kurven in GDI-Pfadobjekten zuständig ist. Die Schwachstelle tritt auf, wenn die Funktion ein speziell konstruiertes Pfadobjekt verarbeitet, das einen Schreibvorgang an eine vom Angreifer kontrollierte Speicheradresse im Kernel-Speicher auslöst. Durch Erstellen von GDI-Pfadobjekten mit spezifischen Eigenschaften und Manipulation des Watchdog-Thread-Timings kann ein Angreifer den verwundbaren Codepfad auslösen und eine kontrollierte Kernel-Speicher-Schreibprimitive erreichen. Diese Schreibprimitive kann dann verwendet werden, um Kernel-Datenstrukturen wie das Prozesstoken oder die HalDispatchTable zu überschreiben und beliebigen Code im Kernel-Modus auszuführen.
Häufig gestellte Fragen
Wird CVE-2013-3660 aktiv ausgenutzt?
Ja. CVE-2013-3660 wird aktiv in der freien Wildbahn ausgenutzt und ist im CISA-KEV-Katalog gelistet. Öffentlicher Proof-of-Concept-Exploit-Code, der auf die Funktion EPATHOBJ::pprFlattenRec abzielt, ist seit 2013 verfügbar, und der EPSS-Score von 69,2 % (71,9. Perzentile) reflektiert bedeutsame Exploit-Aktivität.
Welche Produkte sind von CVE-2013-3660 betroffen?
CVE-2013-3660 betrifft den Win32k-Kernel-Mode-Treiber (win32k.sys) in mehreren Microsoft-Windows-Versionen, darunter Windows XP, Windows Vista, Windows 7, Windows 8, Windows Server 2003, Windows Server 2008 und Windows Server 2012.
Wie behebe ich CVE-2013-3660?
Installieren Sie das Microsoft-Sicherheitsupdate MS13-053 (Juli 2013) auf allen betroffenen Windows-Systemen. Für langfristigen Schutz migrieren Sie zu modernen Windows-Versionen mit aktivierter Virtualization-based Security (VBS) und Kernel-Mode Code Integrity (KMCI).
Wie schwerwiegend ist CVE-2013-3660?
CVE-2013-3660 ist eine hochkritische Privilege-Escalation-Schwachstelle, die Kernel-Mode-Codeausführung von einem Standard-Benutzerkonto gewährt. Die CISA-KEV-Listung und der öffentlich verfügbare Exploit-Code machen dies zu einem erheblichen Sicherheitsrisiko für jedes ungepatchte Windows-System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.