CVE-2017-8540
Microsoft Malware Protection Engine Improper Restriction of Operations Vulnerability
Beschreibung
CVE-2017-8540 ist eine Remote-Code-Execution-Schwachstelle in Microsoft Malware Protection Engine. Die Schwachstelle ermöglicht es einem nicht authentifizierten, lokalen Angreifer, beliebigen Code auszuführen oder einen Denial-of-Service auf betroffenen Geräten auszulösen. CISA hat CVE-2017-8540 in den Known Exploited Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Der EPSS-Score von 84,61 % (99,3. Perzentile) zeigt eine hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | malware protection engine | >= 1.1.13701.0, < 1.1.13704.0 |
| microsoft | endpoint protection | - |
| microsoft | exchange server | 2013; 2016 |
| microsoft | forefront endpoint protection | -; 2010 |
| microsoft | forefront security | - |
| microsoft | intune endpoint protection | - |
| microsoft | security essentials | - |
| microsoft | system center endpoint protection | - |
| microsoft | windows defender | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/98703(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038571(Broken Link, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8540(Mitigation, Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/42088/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-8540(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write ist eine Schwachstelle, die auftritt, wenn Software Daten an einen Speicherort außerhalb der beabsichtigten Grenzen eines Puffers schreibt. Dies kann durch Buffer Overflows, inkorrekte Array-Indizierung, Zeigerarithmetik-Fehler oder Integer Overflows auftreten, die Größenberechnungen beeinflussen.
Weitere Informationen: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
CVE-2017-8540 stellt eine schwerwiegende Bedrohung für Organisationen dar, die Microsoft Malware Protection Engine einsetzen, da nicht authentifizierte Angreifer beliebigen Code auf betroffenen Geräten ausführen können. Mit einem CVSS-Score von 7.8 (hoch) ermöglicht die Schwachstelle Angreifern über lokal die Kompromittierung des betroffenen Geräts. Ein erfolgreicher Angriff kann zur vollständigen Übernahme des Geräts führen, wodurch Angreifer Netzwerkverkehr abfangen, Konfigurationen ändern und kompromittierte Geräte als Ausgangspunkt für laterale Bewegungen im Netzwerk nutzen können. Angesichts der kritischen Rolle von Endpoint-Schutzlösungen kann eine Kompromittierung Sicherheitsmaßnahmen außer Kraft setzen und die Organisation weiteren Angriffen aussetzen.
Exploit-Reifegrad
CVE-2017-8540 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was bestätigt, dass diese Schwachstelle in realen Angriffen ausgenutzt wird. Der EPSS-Score von 84,61 % (99,3. Perzentile) zählt sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen. Öffentlicher Exploit-Code ist verfügbar, was die Hürde für potenzielle Angreifer erheblich senkt. Organisationen sollten diese Schwachstelle als aktive und fortlaufende Bedrohung behandeln, die sofortige Behebung erfordert.
Behebung
- Pflichtmaßnahme laut CISA KEV: Wenden Sie umgehend Hersteller-Updates an, wie von CISA gefordert.
- Falls sofortiges Patching nicht möglich ist, implementieren Sie Übergangsmaßnahmen wie die Beschränkung des Zugriffs auf den Malware-Scan-Engine auf vertrauenswürdige Netzwerke mittels Access Control Lists.
- Überwachen Sie betroffene Geräte auf Anzeichen einer Ausnutzung, einschließlich unerwarteter Neustarts, ungewöhnlichem Netzwerkverkehr und anomalem Prozessverhalten.
- Überprüfen Sie kompromittierte Geräte auf unautorisierte Konfigurationsänderungen, unerwartete Benutzerkonten und persistente Hintertüren.
- Erwägen Sie die Implementierung von Netzwerksegmentierung, um den Wirkungsradius eines kompromittierten Endpunkts zu begrenzen.
Technische Details
CVE-2017-8540 ist eine Remote-Code-Execution-Schwachstelle im betroffenen Komponente von Microsoft Malware Protection Engine. Die Schwachstelle ermöglicht es einem nicht authentifizierten, lokalen Angreifer, durch speziell präparierte Eingaben einen Out-of-Bounds-Write auszulösen, was zur Ausführung beliebigen Codes mit erhöhten Rechten führen kann. Der CVSS v3.1-Score von 7.8 spiegelt eine niedrige Angriffskomplexität mit erforderlicher Benutzerinteraktion sowie hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit wider. Der Angriff erfolgt über lokal.
Häufig gestellte Fragen
Wird CVE-2017-8540 aktiv ausgenutzt?
Ja. CVE-2017-8540 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 84,61 % (99,3. Perzentile) zeigt eine hohe fortlaufende Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2017-8540 betroffen?
CVE-2017-8540 betrifft Microsoft Malware Protection Engine. Konkret betroffen sind Microsoft Malware Protection Engine, Microsoft Endpoint Protection, Microsoft Exchange Server, Microsoft Forefront Endpoint Protection, Microsoft Forefront Security, Microsoft Intune Endpoint Protection, Microsoft Security Essentials, Microsoft System Center Endpoint Protection, Microsoft Windows Defender.
Wie behebe ich CVE-2017-8540?
Wenden Sie Hersteller-Updates gemäß den Anweisungen des Herstellers an. Da diese Schwachstelle Remote Code Execution ermöglicht, sollte das Patching höchste Priorität haben. Bei Verzögerungen beschränken Sie den Zugriff auf den Malware-Scan-Engine und überwachen Sie auf Ausnutzungsversuche.
Wie schwerwiegend ist CVE-2017-8540?
CVE-2017-8540 hat einen CVSS-Score von 7.8 (hoch). Dies ist eine Schwachstelle mit hochem Schweregrad, die Remote Code Execution ermöglicht und zur vollständigen Kompromittierung von Endpoint-Sicherheitslösungen führen kann. Die Kombination aus fehlender Authentifizierungsanforderung und niedriger Angriffskomplexität macht dies zu einer erheblichen Bedrohung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.