CVE-2017-8464
Microsoft Windows Shell (.lnk) Remote Code Execution Vulnerability
Beschreibung
CVE-2017-8464 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in der Windows-Shell-Komponente mehrerer Microsoft-Windows-Versionen mit einem CVSS-3.1-Score von 8.8 (HIGH). Die Schwachstelle ermöglicht es Angreifern, über speziell präparierte .LNK-Dateien (Verknüpfungen) beliebigen Code auszuführen. Beim Öffnen eines Ordners mit einer manipulierten Verknüpfungsdatei verarbeitet Windows Shell die .LNK-Datei automatisch und führt den Schadcode aus, ohne dass der Benutzer die Datei anklicken muss. Betroffen sind Windows 7, 8.1, 10 (Versionen 1511, 1607, 1703) sowie Windows Server 2008, 2012 und 2016. Die CVE wurde am 10. Februar 2022 in den CISA-KEV-Katalog aufgenommen. Der EPSS-Score beträgt 93,88 % (99,87. Perzentile).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1511 | Alle Versionen |
| microsoft | windows 10 1607 | Alle Versionen |
| microsoft | windows 10 1703 | Alle Versionen |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/98818(Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038671(Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8464(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/42382/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/42429/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-8464(US Government Resource)
Schwachstellentyp
Schwachstelle in der LNK-Dateiverarbeitung
CVE-2017-8464 hat in der NVD-Datenbank keine formal zugewiesene CWE-Klassifikation, doch die zugrunde liegende Schwäche ist eng mit CWE-20 (Improper Input Validation) verwandt. Die Schwachstelle entsteht durch die Art, wie die Windows Shell speziell gestaltete .LNK-Dateien verarbeitet — ohne die Strukturen und Referenzen innerhalb der Verknüpfung ordnungsgemäß zu validieren, bevor das zugehörige Symbol geladen und angezeigt wird.
Die Windows Shell verarbeitet .LNK-Dateien automatisch beim Rendern von Ordnerinhalten, was bedeutet, dass der Schadcode allein durch das Navigieren in ein Verzeichnis mit der manipulierten Verknüpfung ausgeführt wird. Dieses automatische Verarbeitungsverhalten macht die Schwachstelle besonders gefährlich für Angriffe über USB-Laufwerke und Netzwerkfreigaben. Die Schwachstelle ähnelt konzeptionell dem berühmten Stuxnet-.LNK-Exploit (CVE-2010-2568).
Auswirkungsanalyse
CVE-2017-8464 erreicht einen CVSS-3.1-Score von 8.8 (HIGH) mit erheblichen Auswirkungen auf alle drei Sicherheitsdimensionen.
Vertraulichkeit (High): Erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes im Kontext des aktuellen Benutzers. Bei Administratorrechten erhält der Angreifer vollständigen Zugriff auf alle Systemdaten — Anmeldedaten, Dokumente, E-Mail-Archive und erreichbare Netzwerkressourcen.
Integrität (High): Codeausführung ermöglicht das Modifizieren von Systemdateien, die Installation persistenter Malware, das Ändern von Sicherheitskonfigurationen und die Erstellung neuer Benutzerkonten. Rootkits und Backdoors können installiert werden, die Systemneustarts überdauern.
Verfügbarkeit (High): Der Angreifer kann das System zum Absturz bringen, Dateien verschlüsseln, Sicherheitssoftware deaktivieren oder das Gerät unbrauchbar machen.
Benutzerinteraktion: Der CVSS-Vektor gibt an, dass Benutzerinteraktion erforderlich ist (UI:R) — der Benutzer muss lediglich zu einem Ordner mit der manipulierten .LNK-Datei navigieren. Dies stellt eine sehr niedrige Hürde dar, da Windows Verknüpfungsdateien beim Ordnerzugriff automatisch verarbeitet.
Mit einem EPSS-Score von 93,88 % (99,87. Perzentile) ist die Ausnutzung in exponierten Umgebungen nahezu sicher.
Exploit-Reifegrad
Exploit-Status: CVE-2017-8464 weist eine sehr hohe Exploit-Reife auf. Mehrere öffentliche Exploits sind auf Exploit-DB verfügbar (IDs 42382 und 42429), und das Metasploit-Framework enthält entsprechende Module.
KEV-Eintrag: CISA hat CVE-2017-8464 am 10. Februar 2022 in den Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit aktive Ausnutzung in der Praxis bestätigt. Die Behebungsfrist war der 10. August 2022.
Ransomware-Bezug: Laut CISA-KEV besteht kein direkter bekannter Ransomware-Bezug. Allerdings sind .LNK-basierte Exploits ein verbreiteter initialer Zugriffsvektor in verschiedenen Malware-Kampagnen, einschließlich Ransomware-Verbreitung über USB-Laufwerke.
Historischer Kontext: Diese Schwachstelle erinnert an CVE-2010-2568, den berühmten .LNK-Exploit des Stuxnet-Wurms. Das Muster der Ausnutzung der Windows-Verknüpfungsdateiverarbeitung bleibt ein attraktiver Angriffsvektor.
Angriffsfläche: Die Schwachstelle ist besonders gefährlich in Umgebungen mit Wechselmedien, gemeinsam genutzten Netzwerkordnern oder WebDAV-Freigaben.
Behebung
-
Microsoft-Sicherheitsupdate sofort installieren. Wenden Sie den offiziellen Patch aus dem Microsoft Security Response Center für alle betroffenen Windows-Versionen an.
-
AutoPlay und AutoRun für Wechselmedien deaktivieren. Konfigurieren Sie Gruppenrichtlinien, um die automatische Ausführung von Inhalten auf USB-Laufwerken und anderen Wechselmedien zu verhindern.
-
LNK-Datei-Rendering auf Netzwerkfreigaben einschränken. Konfigurieren Sie Berechtigungen auf Netzwerkfreigaben, um die automatische Anzeige von .LNK-Dateien aus nicht vertrauenswürdigen Quellen zu verhindern. Blockieren Sie .LNK-Dateien an E-Mail-Gateways.
-
Anwendungs-Whitelisting implementieren. Setzen Sie Windows Defender Application Control (WDAC) oder AppLocker-Richtlinien ein, um ausführbaren Code auf genehmigte Anwendungen zu beschränken.
-
Auf bösartige .LNK-Dateien überwachen. Konfigurieren Sie Endpoint-Detection-Tools zur Erkennung verdächtiger .LNK-Dateierstellung, insbesondere in freigegebenen Ordnern und auf Wechselmedien.
-
Least-Privilege-Prinzip durchsetzen. Stellen Sie sicher, dass Benutzer mit Standardrechten arbeiten, um die Auswirkungen einer Ausnutzung einzuschränken.
Technische Details
CVE-2017-8464 ist eine Remote-Code-Execution-Schwachstelle in der Windows-Shell-Komponente zur Verarbeitung von .LNK-Verknüpfungsdateien.
Angriffsvektor: Netzwerk (AV:N) über Netzwerkfreigaben, WebDAV oder Wechselmedien. Niedrige Komplexität (AC:L), Benutzerinteraktion erforderlich (UI:R) — das Opfer muss zu einem Ordner mit der manipulierten .LNK-Datei navigieren. Keine Privilegien auf Angreiferseite erforderlich (PR:N).
Technischer Ablauf: Eine bösartige .LNK-Datei verweist auf eine speziell vorbereitete DLL- oder CPL-Datei. Wenn Windows Explorer den Ordner mit der .LNK-Datei rendert, versucht das System die referenzierte Icon-Ressource zu laden, was die Ausführung des vom Angreifer kontrollierten Codes auslöst. Der entscheidende Aspekt: Windows verarbeitet .LNK-Dateien automatisch beim Ordner-Rendering — der Benutzer muss die Verknüpfung nicht anklicken oder öffnen.
Verbreitungswege: USB-Laufwerke (automatische Verarbeitung beim Öffnen im Explorer), Netzwerkfreigaben, WebDAV-Freigaben über HTTP oder E-Mail-Anhänge mit Archiven, die .LNK-Dateien enthalten.
Betroffene Plattformen: Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (1511, 1607, 1703), Windows Server 2008 (inkl. R2), Windows Server 2012 (inkl. R2), Windows Server 2016.
Häufig gestellte Fragen
Was ist CVE-2017-8464?
CVE-2017-8464 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in der Windows-Shell-Komponente zur Verarbeitung von .LNK-Verknüpfungsdateien. Ein Angreifer kann eine manipulierte .LNK-Datei erstellen, die beliebigen Code ausführt, wenn ein Benutzer lediglich zum enthaltenden Ordner navigiert. Die Schwachstelle hat einen CVSS-Score von 8.8.
Wie wird CVE-2017-8464 ausgenutzt?
Der Angreifer erstellt eine speziell gestaltete .LNK-Datei und platziert sie dort, wo Opfer darauf stoßen — auf einem USB-Laufwerk, einer Netzwerkfreigabe oder einem WebDAV-Ordner. Wenn das Opfer den enthaltenden Ordner im Windows Explorer öffnet, verarbeitet das Betriebssystem die .LNK-Datei automatisch zum Rendern des Symbols und löst dabei den Schadcode aus.
Wie behebe ich CVE-2017-8464?
Installieren Sie das Microsoft-Sicherheitsupdate aus dem MSRC-Advisory für CVE-2017-8464. Deaktivieren Sie zusätzlich AutoPlay für Wechselmedien, schränken Sie die .LNK-Dateiverarbeitung aus nicht vertrauenswürdigen Netzwerkstandorten ein und setzen Sie Endpoint-Detection zur Erkennung bösartiger Verknüpfungsdateien ein.
Wie schwerwiegend ist CVE-2017-8464?
CVE-2017-8464 ist mit einem CVSS-Score von 8.8 als HIGH eingestuft. Der EPSS-Score von 93,88 % (99,87. Perzentile) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit. CISA hat die aktive Ausnutzung bestätigt. Mehrere öffentliche Exploits existieren, und die niedrige Interaktionshürde macht die Schwachstelle besonders gefährlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.