CVE-2018-8414
Microsoft Windows Shell Remote Code Execution Vulnerability
Beschreibung
CVE-2018-8414 ist eine Remote-Code-Execution-Schwachstelle in der Microsoft Windows Shell, die über speziell gestaltete SettingContent-ms-Dateien ausgenutzt werden kann. Ein Angreifer kann eine bösartige SettingContent-ms-Datei erstellen, die bei Öffnung durch einen Benutzer beliebige Befehle auf dem System ausführt. Dieser Dateityp wurde für Windows-10-Einstellungsverknüpfungen entwickelt, kann aber missbraucht werden, um PowerShell-Befehle auszuführen. Die Schwachstelle wurde am 25. März 2022 in den CISA-Katalog aufgenommen. Mit einem EPSS-Score von 97,3 % (99,9. Perzentil) ist eine Ausnutzung nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows server 1709 | - |
| microsoft | windows server 1803 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/105016(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1041458(Broken Link, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8414(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-8414(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Codegenerierung (Code-Injection)
CVE-2018-8414 wird unter CWE-94 klassifiziert und beschreibt Schwachstellen mit unsachgemäßer Kontrolle der Codeausführung. Die Windows Shell validiert die in SettingContent-ms-Dateien eingebetteten Befehle nicht ordnungsgemäß, wodurch ein Angreifer beliebige ausführbare Pfade und Befehlszeilenargumente einbetten kann.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2018-8414 ermöglicht es Angreifern, beliebigen Code auf Windows-10-Systemen über bösartige SettingContent-ms-Dateien auszuführen. Dieser Dateityp ist besonders gefährlich, da er in Office-Dokumente eingebettet, per E-Mail versendet oder auf Websites gehostet werden kann und viele Sicherheitskontrollen umgeht, die traditionelle ausführbare Dateitypen blockieren. Das DeepLink-Element in diesen Dateien kann beliebige Befehlszeilen einschließlich PowerShell-Skripten spezifizieren, was volle Codeausführung mit den Rechten des aktuellen Benutzers ermöglicht. Der EPSS-Score von 97,3 % bestätigt die nahezu sichere Ausnutzung.
Exploit-Reifegrad
CVE-2018-8414 wurde von CISA als aktiv ausgenutzt bestätigt. Die Angriffstechnik ist weit verbreitet und gut dokumentiert, mit mehreren Proof-of-Concept-Demonstrationen, die zeigen, wie SettingContent-ms-Dateien in Office-Dokumente eingebettet werden können. Mit einem EPSS-Score von 97,3 % ist eine Ausnutzung nahezu sicher. Die Einfachheit der Erstellung bösartiger SettingContent-ms-Dateien — es handelt sich um einfaches XML — macht diese Schwachstelle für ein breites Spektrum von Angreifern zugänglich.
Behebung
- Microsoft-Sicherheitsupdates anwenden: Installieren Sie das kumulative Sicherheitsupdate vom August 2018 von Microsoft.
- SettingContent-ms-Dateien blockieren: Konfigurieren Sie E-Mail-Gateways, Inhaltsfilter und Endpoint-Schutz, um SettingContent-ms-Dateien zu blockieren.
- Attack Surface Reduction-Regeln implementieren: Aktivieren Sie Windows Defender ASR-Regeln, die Office-Anwendungen daran hindern, Kindprozesse zu erstellen.
- Makroausführung einschränken: Konfigurieren Sie Office-Anwendungen, um Makros und eingebettete Inhalte aus nicht vertrauenswürdigen Quellen zu blockieren.
- Benutzer schulen: Schulen Sie Benutzer, bei unerwarteten Dateitypen vorsichtig zu sein, insbesondere bei per E-Mail erhaltenen oder aus dem Internet heruntergeladenen Dateien.
Technische Details
CVE-2018-8414 nutzt den SettingContent-ms-Dateityp aus, der in Windows 10 eingeführt wurde. SettingContent-ms-Dateien sind XML-basierte Dateien, die als Verknüpfungen zu Windows-Einstellungsseiten dienen und ein DeepLink-Element enthalten. Die Schwachstelle besteht, weil die Windows Shell das DeepLink-Element nicht auf Settings-URIs beschränkt — ein Angreifer kann beliebige Befehlszeilen einschließlich Pfaden zu Programmen und PowerShell-Skripten angeben. Beim Öffnen der bösartigen Datei führt Windows den eingebetteten Befehl ohne angemessene Sicherheitswarnungen aus. Diese Dateien können auch in Microsoft-Office-Dokumente eingebettet werden und umgehen dabei Sicherheitskontrollen wie die geschützte Ansicht.
Häufig gestellte Fragen
Wird CVE-2018-8414 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung bestätigt. Die Angriffstechnik ist weit verbreitet und leicht reproduzierbar, was sie zu einem häufigen Vektor für gezielte Angriffe und Phishing-Kampagnen macht.
Welche Produkte sind von CVE-2018-8414 betroffen?
CVE-2018-8414 betrifft Microsoft Windows 10-Systeme. Der SettingContent-ms-Dateityp ist spezifisch für Windows 10 und in früheren Windows-Versionen nicht vorhanden.
Wie behebe ich CVE-2018-8414?
Wenden Sie das kumulative Sicherheitsupdate vom August 2018 von Microsoft an. Blockieren Sie zusätzlich SettingContent-ms-Dateien an E-Mail-Gateways und aktivieren Sie Attack Surface Reduction-Regeln.
Wie schwerwiegend ist CVE-2018-8414?
CVE-2018-8414 ist eine kritische Remote-Code-Execution-Schwachstelle mit einem EPSS-Score von 97,3 %. Die Möglichkeit, bösartige SettingContent-ms-Dateien in Office-Dokumente einzubetten und dabei Sicherheitskontrollen zu umgehen, macht dies zu einem besonders effektiven Angriffsvektor.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.