CVE-2018-0824
Microsoft COM for Windows Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2018-0824 ist eine Remote-Code-Execution-Schwachstelle in Microsoft COM für Windows mit einem CVSS-Score von 8.8 (HIGH). Die Sicherheitslücke tritt auf, wenn Microsoft COM serialisierte Objekte nicht korrekt verarbeitet, wodurch ein Angreifer beliebigen Code im Kontext des angemeldeten Benutzers ausführen kann. Betroffen sind Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (mehrere Versionen) sowie Windows Server 2008, 2012, 2016 und deren R2-Varianten. Obwohl die Schwachstelle bereits 2018 veröffentlicht wurde, hat die CISA sie erst 2024 in den KEV-Katalog aufgenommen. Der EPSS-Score von 91,52 % (99,7. Perzentil) ist extrem hoch und ein öffentlicher Exploit ist verfügbar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1709 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/104030(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1040848(Broken Link, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0824(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/44906/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-0824(US Government Resource)
Schwachstellentyp
Für CVE-2018-0824 wurde kein spezifischer CWE-Typ zugewiesen. Die Schwachstelle liegt in der fehlerhaften Deserialisierung von Objekten durch die Microsoft Component Object Model (COM) Infrastruktur. COM ist ein fundamentales Windows-Framework für die Inter-Prozess-Kommunikation und Objektaustausch zwischen Anwendungen. Wenn COM serialisierte Objekte empfängt und deserialisiert, kann ein Angreifer speziell konstruierte Objekte einschleusen, die bei der Wiederherstellung im Speicher zu einer Codeausführung führen. Diese Art von Schwachstelle wird als Insecure Deserialization klassifiziert und entspricht konzeptionell CWE-502. Die Deserialisierung nicht vertrauenswürdiger Daten ist eine der gefährlichsten Schwachstellenklassen, da sie dem Angreifer direkten Zugriff auf den Ausführungskontext der Anwendung ermöglicht.
Auswirkungsanalyse
Die Auswirkungen von CVE-2018-0824 sind mit einem CVSS-Score von 8.8 als hoch einzustufen. Vertraulichkeit: Ein erfolgreicher Angriff ermöglicht den vollständigen Zugriff auf alle Daten, die dem betroffenen Benutzer zugänglich sind, einschließlich Dokumente, Anmeldeinformationen und Netzwerkressourcen. Integrität: Die Codeausführung erlaubt die Installation von Malware, die Manipulation von Systemdateien und das Erstellen persistenter Backdoors. Verfügbarkeit: Der Angreifer kann Systemdienste stören, Daten verschlüsseln oder das System für weitere Angriffe nutzen. Der netzwerkbasierte Angriffsvektor (AV:N) ohne erforderliche Berechtigungen (PR:N) bei niedriger Angriffskomplexität (AC:L) ermöglicht eine breite Ausnutzung über verschiedene Angriffsvektoren. Der EPSS-Score von 91,52 % (99,7. Perzentil) gehört zu den höchsten überhaupt und zeigt, dass die Schwachstelle extrem aktiv ausgenutzt wird. Die Verfügbarkeit eines öffentlichen Exploits auf Exploit-DB macht die Schwachstelle für jeden Angreifer zugänglich. Der Ransomware-Status wird als "Unbekannt" geführt, doch die Kombination aus Remote-Code-Execution und der weiten Verbreitung betroffener Systeme macht sie zu einem idealen Ransomware-Einstiegsvektor.
Exploit-Reifegrad
CVE-2018-0824 weist eine maximale Exploit-Reife auf. Obwohl die Schwachstelle bereits im Mai 2018 veröffentlicht wurde, hat die CISA sie erst im August 2024 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. August 2024. Dies deutet auf eine Wiederentdeckung oder neue aktive Ausnutzungskampagnen im Jahr 2024 hin. Ein funktionsfähiger Exploit ist seit 2018 auf Exploit-DB (ID 44906) öffentlich verfügbar. Der EPSS-Score von 91,52 % (99,7. Perzentil) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit — nur 0,3 % aller Schwachstellen werden häufiger ausgenutzt. Die langfristige Verfügbarkeit des Exploits über sechs Jahre hinweg hat dazu geführt, dass die Schwachstelle in zahlreiche Exploit-Frameworks und automatisierte Angriffstools integriert wurde. Berichte deuten darauf hin, dass APT-Gruppen die Schwachstelle in gezielten Angriffen gegen Organisationen einsetzen, die noch Legacy-Windows-Systeme betreiben. Der Ransomware-Status wird als "Unbekannt" geführt.
Behebung
-
Microsoft-Sicherheitsupdate von Mai 2018 installieren: Installieren Sie den offiziellen Patch über den Microsoft Security Update Guide. Da der Patch seit 2018 verfügbar ist, sollte er auf allen verwalteten Systemen bereits installiert sein. Überprüfen Sie dennoch alle Systeme, insbesondere Legacy-Installationen.
-
Legacy-Systeme identifizieren und migrieren: Die betroffenen Windows-Versionen (Windows 7, Windows 8.1, Windows Server 2008/2012) haben ihr reguläres Support-Ende erreicht. Planen Sie die Migration auf unterstützte Windows-Versionen, um kontinuierlichen Schutz durch Sicherheitsupdates zu gewährleisten.
-
COM-Angriffsfläche reduzieren: Überprüfen Sie die Konfiguration von DCOM (Distributed COM) auf Ihren Systemen. Deaktivieren Sie DCOM auf Systemen, auf denen es nicht benötigt wird, und beschränken Sie die COM-Aktivierungsberechtigungen auf die notwendigsten Benutzer und Dienste.
-
Netzwerksegmentierung verstärken: Isolieren Sie Legacy-Windows-Systeme, die noch nicht migriert werden können, in separaten Netzwerksegmenten. Beschränken Sie die Netzwerkkommunikation auf das betrieblich Notwendige und blockieren Sie unnötige COM/DCOM-Ports (TCP 135, dynamische RPC-Ports).
-
Endpoint Detection and Response einsetzen: Implementieren Sie EDR-Lösungen auf allen betroffenen Systemen, die auf bekannte COM-Deserialisierung-Angriffsmuster überwachen. Konfigurieren Sie Alarme für verdächtige COM-Objektinstanziierungen und ungewöhnliche Prozesserstellungen im COM-Kontext.
Technische Details
Der CVSS v3.1-Vektor für CVE-2018-0824 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H mit einem Gesamtscore von 8.8 (HIGH). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, typischerweise über manipulierte Webseiten, Dokumente oder Netzwerknachrichten, die COM-Objekte enthalten. Angriffskomplexität (AC:L): Die Ausnutzung ist bei Verfügbarkeit des öffentlichen Exploits trivial. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung ist notwendig. Benutzerinteraktion (UI:R): Das Opfer muss eine Aktion durchführen, etwa eine manipulierte Datei öffnen oder eine präparierte Webseite besuchen. Scope (S:U): Der Angriff bleibt im Sicherheitskontext des COM-Prozesses. Das Microsoft Component Object Model (COM) ermöglicht die Kommunikation zwischen Softwarekomponenten über Prozessgrenzen hinweg. Dazu werden Objekte serialisiert (marshalling), über den gewählten Transportkanal übertragen und auf der Empfängerseite deserialisiert (unmarshalling). Die Schwachstelle liegt im Unmarshalling-Prozess: Wenn ein speziell konstruiertes COM-Objekt deserialisiert wird, können Methoden-Pointer oder vtable-Einträge so manipuliert werden, dass bei der Wiederherstellung des Objekts im Speicher beliebiger Code ausgeführt wird. Der Angreifer muss dazu ein serialisiertes COM-Objekt mit manipulierten Metadaten erstellen, das bei der Deserialisierung die Kontrolle über den Ausführungsfluss übernimmt.
Häufig gestellte Fragen
Warum wurde CVE-2018-0824 erst 2024 in den KEV-Katalog aufgenommen?
Obwohl die Schwachstelle und der Patch seit Mai 2018 bekannt sind, hat die CISA sie erst im August 2024 in den KEV-Katalog aufgenommen. Dies deutet darauf hin, dass neue aktive Ausnutzungskampagnen entdeckt wurden, bei denen Angreifer die Schwachstelle gegen Organisationen einsetzen, die den sechs Jahre alten Patch noch nicht installiert haben — typischerweise Legacy-Systeme oder schlecht verwaltete Umgebungen.
Was ist Microsoft COM und warum ist es gefährlich?
Microsoft COM (Component Object Model) ist ein fundamentales Windows-Framework aus den 1990er-Jahren, das die Kommunikation zwischen Softwarekomponenten ermöglicht. Es wird von zahlreichen Windows-Diensten, Office-Anwendungen und Drittanbieter-Software genutzt. Die tiefe Integration in das Windows-Ökosystem macht COM-Schwachstellen besonders gefährlich, da sie viele Angriffsvektoren eröffnen.
Sind aktuelle Windows-Versionen von CVE-2018-0824 betroffen?
Die ursprüngliche Schwachstelle betrifft Windows-Versionen bis Windows 10 1803 und Windows Server 2016. Neuere Windows-Versionen (Windows 10 ab 1809, Windows 11, Windows Server 2019/2022) sind in der offiziellen CVE-Beschreibung nicht als betroffen gelistet. Dennoch sollte die COM-Sicherheitskonfiguration auf allen Systemen überprüft werden.
Gibt es einen öffentlich verfügbaren Exploit?
Ja, auf Exploit-DB ist seit 2018 ein funktionsfähiger Exploit unter der ID 44906 verfügbar. Die langjährige Verfügbarkeit bedeutet, dass der Exploit in zahlreiche Angriffstools und Frameworks integriert wurde und auch von weniger versierten Angreifern eingesetzt werden kann.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.