CVE-2015-6175
Microsoft Windows Kernel Privilege Escalation Vulnerability
Beschreibung
CVE-2015-6175 ist eine Privilege-Escalation-Schwachstelle im Microsoft-Windows-Kernel, die lokalen Benutzern die Erlangung erhöhter Privilegien über eine speziell gestaltete Anwendung ermöglicht. Die Schwachstelle liegt in der fehlerhaften Handhabung von Objekten im Speicher durch den Windows-Kernel und kann von einem Angreifer mit lokalem Zugang ausgenutzt werden, um von einem Standardbenutzerkonto auf höhere Berechtigungsstufen zu eskalieren. Die CISA hat CVE-2015-6175 in den KEV-Katalog aufgenommen und die aktive Ausnutzung bestätigt. Das EPSS-Perzentil von 86,0 % weist auf eine hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securitytracker.com/id/1034334(Broken Link, Third Party Advisory, VDB Entry)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-135(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-6175(US Government Resource)
Schwachstellentyp
Für CVE-2015-6175 ist kein spezifischer CWE-Typ in der NVD-Datenbank zugeordnet. Die Schwachstelle befindet sich im Windows-Kernel und betrifft die unsachgemäße Handhabung von Objekten im Speicher. Wenn eine speziell gestaltete Anwendung bestimmte Kernel-Codepfade auslöst, verwaltet der Kernel Speicherobjekte fehlerhaft, was zu einem Zustand führt, der für Privilegieneskalation ausgenutzt werden kann. Diese Klasse von Kernel-Schwachstellen umfasst typischerweise unsachgemäßes Objekt-Lifecycle-Management.
Auswirkungsanalyse
CVE-2015-6175 ermöglicht lokale Privilegieneskalation über den Windows-Kernel. Die Schwachstelle erfordert, dass ein lokaler Angreifer eine speziell gestaltete Anwendung ausführt, gewährt aber bei erfolgreicher Ausnutzung erhöhte Privilegien. Vertraulichkeit (Hoch): Kernel-Level-Privilegieneskalation gewährt dem Angreifer Zugriff auf alle Systemdaten, einschließlich geschütztem Kernelspeicher, Zugangsdaten aller Benutzer und verschlüsselten Daten. Integrität (Hoch): Mit Kernel-Level-Zugang kann der Angreifer beliebige Dateien modifizieren, Rootkits installieren und das Betriebssystem auf tiefster Ebene manipulieren. Verfügbarkeit (Hoch): Kernel-Kompromittierung ermöglicht Systemabstürze, die Deaktivierung von Sicherheitsmechanismen oder die permanente Veränderung des Systemverhaltens. Mit einem EPSS-Perzentil von 86,0 % besteht eine hohe Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2015-6175 bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 15. Juni 2022. Das EPSS-Perzentil von 86,0 % weist auf eine hohe Ausnutzungswahrscheinlichkeit hin. Windows-Kernel-Privilege-Escalation-Schwachstellen gehören durchgehend zu den wertvollsten Werkzeugen im Post-Exploitation-Toolkit eines Angreifers, um von initialem User-Level-Zugang auf SYSTEM- oder Kernel-Level-Privilegien zu eskalieren, die für die Installation persistenter Rootkits, die Deaktivierung von Sicherheitssoftware oder den Zugriff auf geschützte Ressourcen benötigt werden.
Behebung
- Microsoft-Sicherheitsupdates anwenden, die CVE-2015-6175 im Windows-Kernel adressieren, gemäß den Herstelleranweisungen wie im CISA-KEV-Katalog gefordert.
- Sicherstellen, dass alle Windows-Systeme unterstützte, aktuelle Versionen mit den neuesten Sicherheitsupdates verwenden.
- Least-Privilege-Prinzipien implementieren in der gesamten Organisation. Benutzer sollten mit Standardkonten statt mit Administratorkonten arbeiten, und Application Whitelisting sollte die Ausführung nicht autorisierter Anwendungen verhindern.
- Endpoint Detection and Response (EDR) Lösungen einsetzen, die Kernel-Exploitation-Versuche, ungewöhnliche Privilege-Escalation-Ereignisse und verdächtiges Anwendungsverhalten erkennen können.
- Virtualisierungsbasierte Sicherheit (VBS) und Credential Guard aktivieren auf unterstützten Windows-Versionen, um hardwaregestützte Isolation sensibler Kernel-Operationen und Zugangsdatenspeicherung bereitzustellen.
Technische Details
CVE-2015-6175 ist eine Privilege-Escalation-Schwachstelle im Microsoft-Windows-Kernel. Der Fehler liegt in der Verarbeitung von Objekten im Speicher bei Anfragen von User-Mode-Anwendungen. Ein lokal authentifizierter Angreifer kann eine Anwendung erstellen, die spezifische Systemaufrufe oder Kernel-Schnittstellen auf eine Weise aufruft, die eine unsachgemäße Objekthandhabung auslöst und zu Memory Corruption im Kernelbereich führt. Durch sorgfältige Kontrolle der Korruption kann der Angreifer Kernel-Datenstrukturen überschreiben, um die Prozess-Token-Privilegien von einem Standardbenutzer auf SYSTEM-Level zu erhöhen. Der lokale Angriffsvektor bedeutet, dass der Angreifer bereits die Fähigkeit zur Codeausführung auf dem Zielsystem haben muss.
Häufig gestellte Fragen
Wird CVE-2015-6175 aktiv ausgenutzt?
Ja, CVE-2015-6175 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 15. Juni 2022. Das EPSS-Perzentil von 86,0 % bestätigt eine hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2015-6175 betroffen?
Von CVE-2015-6175 ist der Microsoft-Windows-Kernel betroffen. Mehrere Windows-Versionen sind verwundbar. Organisationen sollten die Microsoft-Sicherheitsbulletins für spezifische Versionsdetails konsultieren.
Wie behebe ich CVE-2015-6175?
Installieren Sie die Microsoft-Sicherheitsupdates, die diese Kernel-Schwachstelle adressieren. Implementieren Sie Least-Privilege-Zugriffskontrollen, setzen Sie EDR-Lösungen zur Erkennung von Kernel-Exploitation ein und aktivieren Sie virtualisierungsbasierte Sicherheit.
Wie schwerwiegend ist CVE-2015-6175?
CVE-2015-6175 ist eine Kernel-Level-Privilege-Escalation-Schwachstelle mit einem EPSS-Perzentil von 86,0 %. Obwohl lokaler Zugang erforderlich ist, gewährt erfolgreiche Ausnutzung SYSTEM-Level-Privilegien und ermöglicht die vollständige Kontrolle über das betroffene System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.