CVE-2017-8543
Microsoft Windows Search Remote Code Execution Vulnerability
Beschreibung
CVE-2017-8543 ist eine Schwachstelle zur Remote-Code-Ausführung im Windows-Suchdienst von Microsoft Windows, die es einem Angreifer ermöglicht, die Kontrolle über ein betroffenes System zu übernehmen. Die Schwachstelle tritt auf, wenn der Windows-Suchdienst Objekte im Speicher fehlerhaft verarbeitet. Ein Angreifer kann speziell präparierte SMB-Nachrichten an den Dienst senden und beliebigen Code mit erhöhten Privilegien ausführen. CISA hat CVE-2017-8543 in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 99,3 % weist auf eine nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1511 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/98824(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1038667(Broken Link, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8543(Mitigation, Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-8543(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
CWE-119 beschreibt Schwachstellen, bei denen ein Produkt Operationen auf einem Speicherpuffer durchführt, ohne diese ordnungsgemäß auf die vorgesehenen Grenzen zu beschränken. Bei CVE-2017-8543 validiert der Windows-Suchdienst Objekte im Speicher bei der Verarbeitung von Suchanfragen fehlerhaft, was zu einer Speicherkorruption führt, die ein Angreifer zur Remote-Code-Ausführung ausnutzen kann.
Weitere Informationen: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Auswirkungsanalyse
CVE-2017-8543 ist ohne Authentifizierung oder Benutzerinteraktion über das Netzwerk ausnutzbar, was sie zu einer kritischen Bedrohung macht. Ein Angreifer kann präparierte SMB-Nachrichten an den Windows-Suchdienst über das Netzwerk senden, die Speicherkorruption auslösen und Code-Ausführung mit SYSTEM-Privilegien erlangen. Dies gewährt vollständige Kontrolle über das betroffene System und gefährdet Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriffsvektor ist netzwerkbasiert, und der Windows-Suchdienst ist standardmäßig auf allen Windows-Systemen aktiviert, was eine breite Angriffsfläche schafft. Das EPSS-Perzentil von 99,3 % belegt eine nahezu sichere aktive Ausnutzung. CISA hat die aktive Ausnutzung bestätigt und CVE-2017-8543 in den KEV-Katalog aufgenommen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2017-8543 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 14. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,3 % deutet auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin. Microsoft bestätigte zum Zeitpunkt der Veröffentlichung, dass diese Schwachstelle in gezielten Angriffen aktiv ausgenutzt wurde. Der netzwerkbasierte Angriffsvektor in Kombination mit dem fehlenden Erfordernis von Authentifizierung oder Benutzerinteraktion macht diese Schwachstelle besonders attraktiv für automatisierte Ausnutzung und wurmähnliche Verbreitungsszenarien, ähnlich wie andere SMB-bezogene Schwachstellen aus der gleichen Ära.
Behebung
- Wenden Sie das Microsoft-Sicherheitsupdate für CVE-2017-8543 gemäß den Herstelleranweisungen an. Dies ist die erforderliche Behebungsmaßnahme gemäß dem CISA-KEV-Katalog.
- Falls ein sofortiges Patching nicht möglich ist, erwägen Sie die Deaktivierung des Windows-Suchdienstes auf Systemen, auf denen er nicht benötigt wird, insbesondere auf Servern und internetexponierten Systemen.
- Blockieren Sie SMB-Verkehr (TCP-Port 445) an Netzwerkgrenzen und beschränken Sie die interne SMB-Kommunikation durch Netzwerksegmentierung.
- Setzen Sie Intrusion-Detection- und Prevention-System-Regeln (IDS/IPS) ein, um Ausnutzungsversuche gegen den Windows-Suchdienst zu erkennen.
- Überwachen Sie Windows-Ereignisprotokolle und Sicherheitsmonitoring-Tools auf Kompromittierungsindikatoren, einschließlich unerwarteter Abstürze des Windows-Suchdienstes, ungewöhnlicher SMB-Verkehrsmuster oder Anzeichen lateraler Bewegung nach potenzieller Ausnutzung.
Technische Details
CVE-2017-8543 ist eine Speicherkorruptions-Schwachstelle im Windows-Suchdienst (WSearch). Die Schwachstelle wird ausgelöst, wenn der Dienst Objekte im Speicher bei der Verarbeitung speziell präparierter SMB-Nachrichten fehlerhaft handhabt. Dies fällt unter CWE-119, wobei der Dienst Speicheroperationen nicht auf gültige Grenzen beschränkt. Ein Angreifer sendet präparierte SMB-Pakete an den Windows-Suchdienst, die Speicherstrukturen so korrumpieren, dass die Ausführung auf angreiferkontrollierten Code umgeleitet wird. Der Angriff erfordert keine Authentifizierung oder Benutzerinteraktion, und die Ausführung erfolgt mit den Privilegien des Windows-Suchdienstes, der als SYSTEM läuft. Die Schwachstelle betrifft mehrere Windows-Versionen einschließlich Windows 7, 8.1, 10, Server 2008, 2012 und 2016, da der Windows-Suchdienst eine standardmäßig aktivierte Kernkomponente des Betriebssystems ist.
Häufig gestellte Fragen
Wird CVE-2017-8543 aktiv ausgenutzt?
Ja, CVE-2017-8543 wurde in gezielten Angriffen aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle in den KEV-Katalog aufgenommen. Microsoft bestätigte die Ausnutzung zum Zeitpunkt der Veröffentlichung. Das EPSS-Perzentil von 99,3 % belegt eine nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2017-8543 betroffen?
CVE-2017-8543 betrifft den Windows-Suchdienst in mehreren Microsoft-Windows-Versionen, darunter Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2012, Windows Server 2016 und Windows RT 8.1. Der Windows-Suchdienst ist auf allen betroffenen Systemen standardmäßig aktiviert.
Wie behebe ich CVE-2017-8543?
Wenden Sie das relevante Microsoft-Sicherheitsupdate an, das CVE-2017-8543 behebt. Blockieren Sie zusätzlich SMB-Verkehr an Netzwerkgrenzen und erwägen Sie die Deaktivierung des Windows-Suchdienstes auf Systemen, auf denen er nicht benötigt wird. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2017-8543?
CVE-2017-8543 ist eine Schwachstelle zur Remote-Code-Ausführung mit einem EPSS-Perzentil von 99,3 %. Sie erfordert weder Authentifizierung noch Benutzerinteraktion und gewährt SYSTEM-Level-Code-Ausführung. Der netzwerkbasierte Angriffsvektor und die standardmäßige Aktivierung des Windows-Suchdienstes schaffen eine sehr große Angriffsfläche.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.