CVE-2018-19320
GIGABYTE Multiple Products Unspecified Vulnerability
Beschreibung
CVE-2018-19320 ist eine hochgradige Sicherheitslücke im GDrv-Low-Level-Treiber mehrerer GIGABYTE-Produkte, darunter APP Center v1.05.21 und früher, AORUS GRAPHICS ENGINE vor Version 1.57, XTREME GAMING ENGINE vor Version 1.26 sowie OC GURU II v2.08. Der Treiber exponiert eine ring0-memcpy-ähnliche Funktion, die einem lokalen Angreifer ermöglicht, die vollständige Kontrolle über das betroffene System zu übernehmen. Durch Ausnutzung dieser Kernel-Funktion können Angreifer mit normalen Benutzerrechten beliebigen Code auf Kernel-Ebene ausführen. CVE-2018-19320 ist im CISA KEV-Katalog erfasst, steht in Verbindung mit Ransomware-Angriffen und weist mit einem EPSS-Wert im 97. Perzentil eine sehr hohe Ausnutzungswahrscheinlichkeit auf.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| gigabyte | aorus graphics engine | < 1.57 |
| gigabyte | app center | < 19.0422.1 |
| gigabyte | oc guru ii | 2.08 |
| gigabyte | xtreme gaming engine | < 1.26 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://seclists.org/fulldisclosure/2018/Dec/39(Exploit, Mailing List, Third Party Advisory)
- http://www.securityfocus.com/bid/106252(Broken Link, Third Party Advisory, VDB Entry)
- https://www.gigabyte.com/Support/Security/1801(Vendor Advisory)
- https://www.gigabyte.com/tw/Support/Utility/Graphics-Card(Product)
- https://www.secureauth.com/labs/advisories/gigabyte-drivers-elevation-privilege-vulnerabilities(Broken Link, Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-19320(US Government Resource)
Schwachstellentyp
Keine CWE-Klassifizierung verfügbar
Für CVE-2018-19320 ist keine offizielle CWE-Zuordnung in der NVD-Datenbank hinterlegt. Die Schwachstelle beruht auf der Offenlegung einer ring0-memcpy-ähnlichen Funktion durch den GDrv-Kernel-Treiber, die ohne ausreichende Zugriffskontrollen von unprivilegierten Benutzerprozessen aufgerufen werden kann und damit beliebige Schreiboperationen im Kernel-Speicher ermöglicht.
Weitere Informationen: GIGABYTE Security Advisory
Auswirkungsanalyse
CVE-2018-19320 ist lokal ausnutzbar und erfordert lediglich normale Benutzerrechte sowie keine Benutzerinteraktion, was die Einstiegshürde für Angreifer sehr niedrig hält. Angriffskomplexität (Niedrig): Die Schwachstelle ist ohne spezielle Vorbedingungen oder technisches Spezialwissen ausnutzbar. Vertraulichkeit, Integrität und Verfügbarkeit (alle Hoch): Durch die ring0-memcpy-Funktion können Angreifer beliebigen Code im Kernel-Kontext ausführen, Sicherheitstoken manipulieren, Kernel-Schutzmechanismen deaktivieren und vollständige Systemkontrolle erlangen. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Wert im 97. Perzentil sowie bestätigter Ransomware-Verbindung ist diese Schwachstelle als kritisch priorisierungswürdig einzustufen.
Exploit-Reifegrad
CVE-2018-19320 wird aktiv ausgenutzt — CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und eine Verbindung zu Ransomware-Kampagnen bestätigt. Öffentlicher Exploit-Code ist verfügbar, unter anderem via Full Disclosure Mailing List und SecureAuth Labs Advisory. Der EPSS-Score von 37,1% im 97. Perzentil zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an; in Kombination mit den verwandten GIGABYTE-Schwachstellen CVE-2018-19321, CVE-2018-19322 und CVE-2018-19323 ergibt sich ein besonders umfangreiches Privilege-Escalation-Potenzial auf Kernel-Ebene.
Behebung
- Wenden Sie die vom Hersteller bereitgestellten Sicherheits-Patches an oder stellen Sie betroffene Produkte außer Betrieb, falls keine Patches verfügbar sind (gemäß CISA-Anforderung).
- Aktualisieren Sie alle betroffenen GIGABYTE-Produkte auf die im Security Advisory (gigabyte.com/Support/Security/1801) genannten gepatchten Versionen: APP Center nach 1.05.21, AORUS GRAPHICS ENGINE 1.57+, XTREME GAMING ENGINE 1.26+, OC GURU II auf eine gepatchte Version.
- Beschränken Sie den lokalen Systemzugang auf autorisierte Benutzer und verhindern Sie, dass Standardbenutzer auf Kernel-Treiberfunktionen zugreifen können.
- Implementieren Sie EDR-Lösungen und überwachen Sie auf anomale Kernel-Schreiboperationen, ungewöhnliche Speicherzugriffe und Privilegienerweiterungsversuche.
- Aktivieren Sie Kernel-Schutzmechanismen wie Memory Integrity (HVCI), Kernel Patch Protection und Secure Boot als langfristige Härtungsmaßnahmen gegen Angriffe auf Kernel-Ebene.
Technische Details
CVE-2018-19320 exponiert eine ring0-memcpy-ähnliche Funktion des GDrv-Kernel-Treibers in GIGABYTE-Produkten, die ohne angemessene Zugriffskontrollen von Benutzerprozessen aufgerufen werden kann. Ring 0 bezeichnet den höchsten Privilegierungsring in der x86-Architektur — Kernel-Modus — in dem Code uneingeschränkten Zugriff auf alle Hardware-Ressourcen und den gesamten Adressraum hat. Eine memcpy-ähnliche Funktion auf diesem Privilegierungsniveau ermöglicht einem Angreifer, beliebige Kernel-Datenstrukturen zu überschreiben, Prozesssicherheitstoken zu erhöhen und damit vollständige Systemkontrolle zu erlangen. Der CVSS 3.1 Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt lokale Ausnutzbarkeit mit niedriger Komplexität und vollständiger Kompromittierung aller Sicherheitsdimensionen. Die Schwachstelle gehört zu einer Gruppe verwandter GIGABYTE-Treiber-Schwachstellen (CVE-2018-19321, CVE-2018-19322, CVE-2018-19323), die gemeinsam ein umfassendes Angriffspotenzial auf Kernel-Ebene bilden.
Häufig gestellte Fragen
Wird CVE-2018-19320 aktiv ausgenutzt?
Ja. CISA hat CVE-2018-19320 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen und die Verbindung zu Ransomware-Angriffen bestätigt. Der EPSS-Score im 97. Perzentil weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin und öffentlicher Exploit-Code ist verfügbar.
Welche Produkte sind von CVE-2018-19320 betroffen?
Betroffen sind: GIGABYTE APP Center v1.05.21 und früher, AORUS GRAPHICS ENGINE vor Version 1.57, XTREME GAMING ENGINE vor Version 1.26 sowie OC GURU II v2.08. Alle genannten Produkte enthalten den verwundbaren GDrv-Kernel-Treiber mit der exponierten ring0-memcpy-Funktion.
Wie behebe ich CVE-2018-19320?
Aktualisieren Sie alle betroffenen GIGABYTE-Produkte auf die im Security Advisory (gigabyte.com/Support/Security/1801) genannten gepatchten Versionen. Aktivieren Sie Kernel-Schutzmechanismen wie Memory Integrity (HVCI) und beschränken Sie den lokalen Systemzugang auf autorisierte Benutzer.
Wie schwerwiegend ist CVE-2018-19320?
CVE-2018-19320 ist mit einem CVSS 3.1 Score von 7.8 als HIGH eingestuft und ermöglicht einem lokalen Angreifer mit normalen Benutzerrechten die vollständige Systemübernahme durch Ausnutzung einer Kernel-Schwachstelle. Der EPSS-Wert im 97. Perzentil und die bestätigte Ransomware-Verbindung machen diese Schwachstelle zu einem vorrangigen Sicherheitsrisiko.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.