CVE-2014-1812
Microsoft Windows Group Policy Preferences Password Privilege Escalation Vulnerability
Beschreibung
CVE-2014-1812 ist eine schwerwiegende Rechteausweitung-Schwachstelle in Microsoft Windows Group Policy Preferences mit einem CVSS-3.1-Score von 8.8. Microsoft Windows Active Directory enthält eine Privilegieneskalations-Schwachstelle aufgrund der Art und Weise, wie Passwörter verteilt werden, die über Gruppenrichtlinien-Einstellungen (GPP) konfiguriert sind. Ein authentifizierter Angreifer kann die in SYSVOL gespeicherten Passwörter entschlüsseln und zur Rechteausweitung in der Domäne verwenden. Betroffene Produkte umfassen Microsoft Windows Vista SP2, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2008 SP2 und R2 SP1 sowie Windows Server 2012 Gold und R2. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet mit einer Behebungsfrist bis zum 2022-05-03. Die Schwachstelle wird nachweislich in Ransomware-Kampagnen ausgenutzt. Der EPSS-Score von 0.80264 (99,10. Perzentile) belegt eine extrem hohe reale Ausnutzungswahrscheinlichkeit und erfordert sofortige Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows 8 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows vista | - |
Referenzen
- http://blogs.technet.com/b/srd/archive/2014/05/13/ms14-025-an-update-for-group-policy-preferences.aspx(Third Party Advisory)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2014/ms14-025(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2014-1812(US Government Resource)
Schwachstellentyp
CWE-255: Fehler im Zugangsdatenmanagement / CWE-522: Unzureichend geschützte Anmeldedaten
CVE-2014-1812 wird unter CWE-255 (Fehler im Zugangsdatenmanagement) und CWE-522 (Unzureichend geschützte Anmeldedaten) klassifiziert. CWE-522 tritt auf, wenn ein Produkt Authentifizierungs-Anmeldedaten mit einer unsicheren Methode überträgt oder speichert, die anfällig für unbefugtes Abfangen und Abrufen ist. Dies umfasst das Speichern von Passwörtern im Klartext, die Verwendung schwacher Verschlüsselung oder das Versäumnis, Anmeldedatenspeicher ordnungsgemäß zu schützen.
Im Kontext von Microsoft Windows Group Policy Preferences ist diese Schwäche besonders gefährlich, da GPP Administratoren ermöglicht, verschlüsselte Passwörter in XML-Dateien einzubetten, die über SYSVOL verteilt werden. Microsoft hat jedoch den verwendeten AES-Schlüssel in der MSDN-Dokumentation veröffentlicht, wodurch jedes in einer GPP-XML-Datei gespeicherte Passwort trivial von jedem Domänenbenutzer entschlüsselt werden kann. Dies untergräbt das gesamte Zugangsdatenschutzmodell grundlegend.
Mehr erfahren: CWE-522 — Unzureichend geschützte Anmeldedaten
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer Zugriff auf Passwörter, die in Gruppenrichtlinien-XML-Dateien auf dem SYSVOL-Share gespeichert sind. Diese können lokale Administrator-Passwörter, Dienstkonto-Zugangsdaten und andere Domänen-Anmeldedaten umfassen.
Integrität (HIGH): Mit entschlüsselten Zugangsdaten können Angreifer Systemkonfigurationen modifizieren, Backdoors installieren, Gruppenrichtlinien ändern und unbefugte Änderungen auf mehreren domänenverbundenen Systemen vornehmen.
Verfügbarkeit (HIGH): Mit den erlangten erhöhten Privilegien können Angreifer Dienste stören, legitime Konten sperren oder Ransomware in der gesamten Domäne verbreiten.
Scope: Der Scope ist Unchanged (U), die Auswirkungen sind auf die verwundbare Windows Active Directory-Umgebung beschränkt, wobei die erhaltenen Zugangsdaten Zugriff auf weitere Systeme in derselben Domäne ermöglichen können.
Mit einem EPSS-Score von 0.80264 (99,10. Perzentile) gehört diese Schwachstelle zu den am häufigsten in der Praxis ausgenutzten und wird regelmäßig als Post-Kompromittierungs-Technik zur Privilegieneskalation eingesetzt.
Exploit-Reifegrad
Exploit-Status: CVE-2014-1812 wird aktiv in der Praxis ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Die Schwachstelle ist mit öffentlich verfügbaren Tools wie PowerSploits Get-GPPPassword-Modul und dem Metasploit Framework trivial ausnutzbar. Der Entschlüsselungsschlüssel wurde von Microsoft in der MSDN-Dokumentation veröffentlicht.
Ransomware-Bezug: Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen ausgenutzt. Bedrohungsakteure verwenden die GPP-Passwortentschlüsselung regelmäßig als Teil von Post-Kompromittierungs-Lateral-Movement- und Privilegieneskalations-Ketten, die zu Ransomware-Deployment führen.
Angriffsfläche: Jeder authentifizierte Benutzer einer Windows-Domäne, in der Gruppenrichtlinien-Einstellungen zur Passwortkonfiguration verwendet wurden, kann diese Schwachstelle ausnutzen. Der SYSVOL-Share ist standardmäßig für alle authentifizierten Domänenbenutzer lesbar.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Alle Organisationen sollten diese Frist als dringende Empfehlung für ihre eigenen Behebungszeiträume betrachten.
Behebung
- Microsoft-Sicherheitsupdate MS14-025 umgehend anwenden. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie das Microsoft Security Bulletin MS14-025 für spezifische Patch-Informationen. Beachten Sie, dass dieses Update die Erstellung neuer GPP mit Passwörtern verhindert, aber existierende nicht entfernt.
- Alle bestehenden GPP-XML-Dateien mit Passwörtern aus SYSVOL entfernen. Durchsuchen Sie den SYSVOL-Share nach XML-Dateien mit dem cpassword-Attribut (Groups.xml, Services.xml, Scheduledtasks.xml, DataSources.xml, Printers.xml, Drives.xml). Löschen oder ersetzen Sie diese Dateien umgehend.
- Alle jemals in GPP gespeicherten Zugangsdaten rotieren. Jedes über GPP verteilte Passwort sollte als kompromittiert betrachtet werden. Ändern Sie alle betroffenen lokalen Administrator-Passwörter, Dienstkonto-Zugangsdaten und sonstigen über GPP konfigurierten Anmeldedaten.
- LAPS (Local Administrator Password Solution) implementieren. Setzen Sie Microsoft LAPS oder Windows LAPS ein, um lokale Administrator-Passwörter sicher zu verwalten und den unsicheren GPP-Passwortverteilungsmechanismus zu ersetzen.
- SYSVOL-Zugriffe auditieren und überwachen. Aktivieren Sie Auditing auf SYSVOL, um jeden Zugriff auf GPP-XML-Dateien zu erkennen. Überwachen Sie die Nutzung bekannter Exploitation-Tools wie Get-GPPPassword.
- Auf Anzeichen vorheriger Ausnutzung prüfen. Überprüfen Sie Domänen-Logs auf Hinweise von Credential-Missbrauch, unerwarteter Privilegieneskalation oder Lateral-Movement-Mustern.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Niedrig (authentifizierter Domänenbenutzer)
Benutzerinteraktion: Keine
Technischer Ablauf: Gruppenrichtlinien-Einstellungen (GPP) ermöglichen Administratoren, Einstellungen einschließlich lokaler Benutzerkonten, geplanter Aufgaben, Dienste und Laufwerkszuordnungen mit eingebetteten Zugangsdaten zu konfigurieren. Diese Zugangsdaten werden mit einem statischen AES-256-Schlüssel verschlüsselt und in XML-Dateien auf dem SYSVOL-Share gespeichert. Microsoft hat den AES-Verschlüsselungsschlüssel in der MSDN-Dokumentation (KB2962486) veröffentlicht, wodurch es trivial möglich ist, den SYSVOL-Share zu lesen, den cpassword-Wert aus GPP-XML-Dateien zu extrahieren und die gespeicherten Zugangsdaten mit dem veröffentlichten Schlüssel zu entschlüsseln.
Betroffene Produkte: Microsoft Windows Vista SP2, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2008 SP2 und R2 SP1, Windows Server 2012 Gold und R2
CVSS-3.1-Bewertung: Der Score von 8.8 (HOCH) reflektiert einen netzwerkbasierten Angriffsvektor, niedrige Angriffskomplexität, niedrige erforderliche Rechte (authentifizierter Domänenbenutzer) und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2014-1812 aktiv ausgenutzt?
Ja, CVE-2014-1812 wird aktiv in der Praxis ausgenutzt. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet und hat einen EPSS-Score von 0.80264 (99,10. Perzentile). Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt.
Welche Produkte sind von CVE-2014-1812 betroffen?
Betroffen sind Microsoft Windows Vista SP2, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2008 SP2 und R2 SP1 sowie Windows Server 2012 Gold und R2. Jede Windows-Domäne, in der Gruppenrichtlinien-Einstellungen zur Passwortverteilung verwendet wurden, ist verwundbar.
Wie behebe ich CVE-2014-1812?
Wenden Sie das Microsoft Security Bulletin MS14-025 an, das die Erstellung neuer GPP-Einträge mit Passwörtern verhindert. Entfernen Sie zusätzlich alle bestehenden GPP-XML-Dateien mit cpassword-Attributen aus SYSVOL, rotieren Sie alle jemals in GPP gespeicherten Zugangsdaten und setzen Sie LAPS zur Verwaltung lokaler Administrator-Passwörter ein.
Wie schwerwiegend ist CVE-2014-1812?
CVE-2014-1812 ist mit einem CVSS-Score von 8.8 als HOCH eingestuft. Der EPSS-Score von 0.80264 (99,10. Perzentile) belegt eine der höchsten realen Ausnutzungswahrscheinlichkeiten. Die Schwachstelle wird in Ransomware-Kampagnen eingesetzt und ermöglicht jedem authentifizierten Domänenbenutzer die Entschlüsselung von in Gruppenrichtlinien gespeicherten Zugangsdaten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.