CVE-2015-0016
Microsoft Windows TS WebProxy Directory Traversal Vulnerability
Beschreibung
CVE-2015-0016 ist eine Directory-Traversal-Schwachstelle in der TS-WebProxy-Komponente (TSWbPrxy) von Microsoft Windows, die entfernten Angreifern die Eskalation von Privilegien ermöglicht. Die Schwachstelle liegt in der unzureichenden Bereinigung von Dateipfadeingaben in der Terminal-Services-WebProxy-Komponente, wodurch ein Angreifer Verzeichnisgrenzen überschreiten und auf Dateien außerhalb des vorgesehenen Verzeichnisses zugreifen kann. Die CISA hat CVE-2015-0016 in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestätigt. Das EPSS-Perzentil von 99,7 % weist auf eine nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows 8 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows vista | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://blog.trendmicro.com/trendlabs-security-intelligence/cve-2015-0016-escaping-the-internet-explorer-sandbox/(Exploit)
- http://packetstormsecurity.com/files/130201/MS15-004-Microsoft-Remote-Desktop-Services-Web-Proxy-IE-Sandbox-Escape.html(Exploit, Third Party Advisory, VDB Entry)
- http://secunia.com/advisories/62076(Broken Link)
- http://www.exploit-db.com/exploits/35983(Exploit, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/71965(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1031524(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-004(Patch, Vendor Advisory)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/99515(Third Party Advisory, VDB Entry)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/99516(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-0016(US Government Resource)
Schwachstellentyp
Für CVE-2015-0016 ist kein spezifischer CWE-Typ in der NVD-Datenbank zugeordnet. Die Schwachstelle ist ein Directory-Traversal-Fehler (Path Traversal) in der TS-WebProxy-Komponente. Directory Traversal tritt auf, wenn eine Anwendung benutzerseitig bereitgestellte Dateipfadeingaben nicht ordnungsgemäß bereinigt und Sequenzen wie "../" das Navigieren außerhalb der vorgesehenen Verzeichnisstruktur ermöglichen. In der TSWbPrxy-Komponente führt dies zum Zugriff auf Dateien in eingeschränkten Bereichen und zur Privilegieneskalation.
Auswirkungsanalyse
CVE-2015-0016 ermöglicht Privilege Escalation über eine Directory-Traversal-Schwachstelle in der Windows-TS-WebProxy-Komponente. Die Schwachstelle ist aus der Ferne über das Netzwerk ausnutzbar, was ihre Schwere erheblich verstärkt. Vertraulichkeit (Hoch): Durch Directory Traversal kann ein Angreifer auf sensible Systemdateien, Konfigurationsdaten und Zugangsdaten zugreifen, die normalerweise privilegierten Benutzern vorbehalten sind. Integrität (Hoch): Privilegieneskalation ermöglicht dem Angreifer die Modifikation von Systemdateien, die Installation persistenter Backdoors und die Änderung von Sicherheitskonfigurationen. Verfügbarkeit (Hoch): Ein Angreifer mit erweiterten Rechten kann Systemdienste stören oder Sicherheitskontrollen deaktivieren. Mit einem EPSS-Perzentil von 99,7 % besteht eine nahezu sichere Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2015-0016 bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 15. Juni 2022. Das EPSS-Perzentil von 99,7 % ordnet diese Schwachstelle unter die am aktivsten ausgenutzten Sicherheitslücken ein. Die Kombination aus Remote-Angriffsvektor und Privilege-Escalation-Fähigkeit macht CVE-2015-0016 besonders wertvoll für Angreifer, da die Schwachstelle sowohl als initialer Zugangvektor als auch als Privilegieneskalationsschritt in mehrstufigen Angriffen gegen Windows-Systeme mit Terminal Services dienen kann.
Behebung
- Microsoft-Sicherheitsupdates anwenden, die CVE-2015-0016 in der TS-WebProxy-Komponente adressieren, gemäß den Herstelleranweisungen wie im CISA-KEV-Katalog gefordert.
- Die TS-WebProxy-Komponente deaktivieren, sofern sie nicht aktiv benötigt wird. Die Reduzierung der Angriffsfläche durch Entfernen unnötiger Terminal-Services-Komponenten verhindert die Ausnutzung dieser und ähnlicher Schwachstellen.
- Netzwerkzugriff auf Terminal Services einschränken mittels Firewall-Regeln und Netzwerksegmentierung. Sicherstellen, dass Remotedesktopdienste nur aus vertrauenswürdigen Netzwerken erreichbar sind und VPN-Zugang erfordern.
- Application Whitelisting und Pfadbeschränkungen implementieren, um die Ausführung von Dateien zu verhindern, die über Directory Traversal zugänglich gemacht werden.
- Auf Directory-Traversal-Angriffsmuster überwachen in Webserver- und Anwendungsprotokollen. Auf Pfad-Traversal-Sequenzen (../, ..\) in HTTP-Anfragen an die TS-WebProxy-Komponente achten.
Technische Details
CVE-2015-0016 ist eine Directory-Traversal-Schwachstelle in der TS-WebProxy-Komponente (TSWbPrxy) von Microsoft Windows. TSWbPrxy ist Teil der Windows Terminal Services (Remotedesktopdienste) und verarbeitet Web-Proxy-Funktionalitäten für Remote-Sitzungen. Die Schwachstelle besteht, weil die Komponente Dateipfadeingaben nicht ordnungsgemäß validiert und bereinigt, wodurch ein Angreifer Directory-Traversal-Sequenzen in Anfragen einfügen kann, um außerhalb des vorgesehenen Verzeichnisses zu navigieren. Durch eine Anfrage mit Pfad-Traversal-Zeichen kann ein Angreifer auf Dateien an beliebigen Stellen des Dateisystems zugreifen, einschließlich Systemverzeichnissen mit ausführbaren Dateien und Konfigurationsdateien. Der Remote-Angriffsvektor bedeutet, dass die Ausnutzung über das Netzwerk durch speziell gestaltete Anfragen an den Terminal-Services-Web-Proxy erfolgen kann.
Häufig gestellte Fragen
Wird CVE-2015-0016 aktiv ausgenutzt?
Ja, CVE-2015-0016 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 15. Juni 2022. Das EPSS-Perzentil von 99,7 % belegt eine nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2015-0016 betroffen?
Von CVE-2015-0016 ist Microsoft Windows über die TS-WebProxy-Komponente (TSWbPrxy) betroffen, die Teil der Terminal Services (Remotedesktopdienste) ist. Organisationen, die Windows-Systeme mit aktivierten Terminal Services betreiben, sollten die Microsoft-Sicherheitsbulletins konsultieren.
Wie behebe ich CVE-2015-0016?
Installieren Sie die Microsoft-Sicherheitsupdates, die diese Schwachstelle adressieren. Deaktivieren Sie die TS-WebProxy-Komponente, wenn sie nicht benötigt wird. Schränken Sie den Netzwerkzugriff auf Terminal Services mittels Firewalls und VPN-Anforderungen ein.
Wie schwerwiegend ist CVE-2015-0016?
CVE-2015-0016 ist eine aus der Ferne ausnutzbare Privilege-Escalation-Schwachstelle mit einem EPSS-Perzentil von 99,7 %, was auf nahezu sichere Ausnutzung hinweist. Die Kombination aus Remote-Ausnutzbarkeit und Privilegieneskalation macht dies zu einer kritischen Priorität für das Patching.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.