CVE-2017-0005
Microsoft Windows Graphics Device Interface (GDI) Privilege Escalation Vulnerability
Beschreibung
CVE-2017-0005 ist eine Schwachstelle zur Rechteausweitung in der Graphics Device Interface (GDI) Komponente von Microsoft Windows. Die Schwachstelle ermöglicht es lokalen Benutzern, über eine speziell präparierte Anwendung erhöhte Systemprivilegien zu erlangen, indem sie eine fehlerhafte Speicherverwaltung im GDI-Subsystem ausnutzt. Ein erfolgreicher Angriff kann zur Ausführung von beliebigem Code mit SYSTEM-Privilegien führen und dem Angreifer die vollständige Kontrolle über das betroffene System ermöglichen. CISA hat CVE-2017-0005 in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 92,0 % weist auf eine hohe Wahrscheinlichkeit aktiver Ausnutzung hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1511 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows vista | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/96033(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038002(Broken Link, Third Party Advisory, VDB Entry)
- https://blogs.technet.microsoft.com/mmpc/2017/03/27/detecting-and-mitigating-elevation-of-privilege-exploit-for-cve-2017-0005/(Exploit, Mitigation, Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-0005(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-0005(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
CWE-119 beschreibt Schwachstellen, bei denen ein Produkt Operationen auf einem Speicherpuffer durchführt, ohne diese ordnungsgemäß auf die vorgesehenen Grenzen zu beschränken. Bei CVE-2017-0005 verarbeitet die Windows-GDI-Komponente Objekte im Speicher fehlerhaft, wodurch eine präparierte Anwendung außerhalb der Puffergrenzen operierende Speicherzugriffe durchführen kann, die zur Rechteausweitung vom Standard-Benutzerkontext auf SYSTEM-Ebene führen.
Weitere Informationen: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Auswirkungsanalyse
CVE-2017-0005 ermöglicht eine lokale Rechteausweitung, bei der ein Angreifer mit Standard-Benutzerrechten SYSTEM-Privilegien auf betroffenen Windows-Systemen erlangen kann. Die Schwachstelle erfordert lokalen Zugang und die Möglichkeit, eine präparierte Anwendung auszuführen, benötigt jedoch keine weitere Benutzerinteraktion über die initiale Ausführung hinaus. Nach erfolgreicher Ausnutzung erhält der Angreifer vollständige Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit des Systems, da SYSTEM-Privilegien uneingeschränkten Zugriff auf alle Dateien, Prozesse und Systemkonfigurationen ermöglichen. Das EPSS-Perzentil von 92,0 % belegt signifikante Ausnutzungsaktivität. Diese Schwachstelle wurde einem fortgeschrittenen Bedrohungsakteur zugeschrieben und im Rahmen gezielter Angriffskampagnen eingesetzt, bei denen der Erstzugang über andere Methoden erfolgte und CVE-2017-0005 anschließend zur lokalen Rechteausweitung verwendet wurde.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2017-0005 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 14. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 92,0 % deutet auf eine hohe Ausnutzungswahrscheinlichkeit hin. Diese Schwachstelle wurde einer fortgeschrittenen Bedrohungsgruppe (berichtet als Zirconium/APT31) zugeschrieben und vor der Verfügbarkeit eines Patches in gezielten Angriffen eingesetzt, was sie zu einer ehemaligen Zero-Day-Schwachstelle macht. Die gezielte Natur der Ausnutzung bedeutet, dass sie primär in APT-Kampagnen (Advanced Persistent Threat) verwendet wurde, obwohl die öffentliche Verfügbarkeit der Patch-Details nach der Behebung das Risiko einer breiteren Ausnutzung verbleibender ungepatchter Systeme erhöht.
Behebung
- Wenden Sie die Microsoft-Sicherheitsupdates gemäß den Herstelleranweisungen an. Der CISA-KEV-Katalog fordert Organisationen auf, Updates gemäß den Herstelleranweisungen für CVE-2017-0005 einzuspielen.
- Priorisieren Sie das Patching von Windows-Systemen, bei denen die GDI-Komponente exponiert ist, insbesondere Arbeitsplatzrechner und Server in Umgebungen, die von Advanced Persistent Threats betroffen sind.
- Implementieren Sie Application-Whitelisting oder Anwendungskontrollrichtlinien, um die Ausführung nicht autorisierter Anwendungen zu verhindern, die zur Ausnutzung dieser Rechteausweitungs-Schwachstelle verwendet werden könnten.
- Wenden Sie das Prinzip der geringsten Privilegien in der gesamten Umgebung an und stellen Sie sicher, dass Benutzer mit Standardkonten statt Administratorkonten arbeiten.
- Überwachen Sie verdächtige Prozessausführungsmuster, insbesondere unerwartete GDI-bezogene Aktivitäten oder Versuche, erhöhte Prozesse aus Standard-Benutzerkontexten zu starten, mithilfe von Endpoint-Detection-and-Response-Tools (EDR).
Technische Details
CVE-2017-0005 ist eine Speicherkorruptions-Schwachstelle in der Windows Graphics Device Interface (GDI), die zu einer lokalen Rechteausweitung führt. Das GDI-Subsystem verarbeitet Objekte im Speicher fehlerhaft, was unter CWE-119 (Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers) einzuordnen ist. Wenn eine lokal ausgeführte präparierte Anwendung den verwundbaren Codepfad auslöst, führt die GDI-Komponente Speicheroperationen außerhalb der vorgesehenen Grenzen durch, die dem Angreifer die Ausführung beliebigen Codes mit erhöhten SYSTEM-Privilegien ermöglichen. Der Angriffsvektor ist lokal und erfordert zunächst die Code-Ausführung auf dem Zielsystem, wobei die Angriffskomplexität nach Erlangung des lokalen Zugangs gering ist. Diese Schwachstelle war besonders bemerkenswert, da sie als Zero-Day von einem fortgeschrittenen Bedrohungsakteur eingesetzt wurde und als Komponente zur Rechteausweitung in mehrstufigen Angriffsketten diente.
Häufig gestellte Fragen
Wird CVE-2017-0005 aktiv ausgenutzt?
Ja, CVE-2017-0005 wurde in gezielten Angriffen aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen. Sie wurde als Zero-Day von einer fortgeschrittenen Bedrohungsgruppe vor der Verfügbarkeit des Patches eingesetzt. Das EPSS-Perzentil von 92,0 % belegt eine hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2017-0005 betroffen?
CVE-2017-0005 betrifft die Graphics Device Interface (GDI) Komponente in Microsoft Windows. Mehrere Windows-Versionen sind betroffen, darunter Windows Vista, Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2012 und Windows Server 2016.
Wie behebe ich CVE-2017-0005?
Wenden Sie die relevanten Microsoft-Sicherheitsupdates gemäß den Herstelleranweisungen an. Implementieren Sie zusätzlich Application-Whitelisting-Richtlinien und das Prinzip der geringsten Privilegien. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2017-0005?
CVE-2017-0005 ist eine Schwachstelle zur Rechteausweitung, die lokalen Angreifern SYSTEM-Zugang ermöglicht. Das EPSS-Perzentil von 92,0 % deutet auf eine hohe Ausnutzungswahrscheinlichkeit hin. Der Einsatz als Zero-Day in APT-Kampagnen unterstreicht die Bedeutung dieser Schwachstelle in fortgeschrittenen Angriffsketten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.