CVE-2018-8440
Microsoft Windows Privilege Escalation Vulnerability
Beschreibung
CVE-2018-8440 ist eine kritische Privilege-Escalation-Schwachstelle in der Windows Advanced Local Procedure Call (ALPC)-Schnittstelle, die es einem lokal authentifizierten Angreifer ermöglicht, Code mit SYSTEM-Privilegien auszuführen. Die Schwachstelle resultiert aus einer fehlerhaften Behandlung von ALPC-Aufrufen durch den Windows Task Scheduler, insbesondere im SchRpcSetSecurity-API-Endpunkt. CISA hat CVE-2018-8440 am 28. März 2022 in den KEV-Katalog aufgenommen und damit die weitverbreitete Ausnutzung bestätigt. Mit einem EPSS-Score von 97,3 % (99,9. Perzentile) gehört dies zu den am stärksten ausgenutzten Windows-Privilege-Escalation-Schwachstellen, mit dokumentierter Nutzung durch die PowerPool-Malware-Gruppe.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/105153(Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1041578(Third Party Advisory, VDB Entry)
- https://blog.0patch.com/2018/08/how-we-micropatched-publicly-dropped.html(Exploit, Patch, Third Party Advisory)
- https://blog.0patch.com/2018/09/comparing-our-micropatch-with.html(Third Party Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8440(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-8440(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
CWE-269 beschreibt eine Schwachstelle, bei der Software Berechtigungen nicht ordnungsgemäß verwaltet und Angreifern erhöhten Zugriff auf normalerweise geschützte Ressourcen ermöglicht. Bei CVE-2018-8440 behandelt die Windows-ALPC-Schnittstelle im Task-Scheduler-Dienst Berechtigungsprüfungen bei SchRpcSetSecurity-Aufrufen fehlerhaft, wodurch ein niedrig privilegierter Benutzer geschützte Dateien überschreiben und SYSTEM-Codeausführung erreichen kann.
Weitere Informationen: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2018-8440 ermöglicht eine lokale Rechteeskalation von jedem authentifizierten Benutzer auf SYSTEM-Ebene auf betroffenen Windows-Systemen, was eine vollständige Kompromittierung der lokalen Systemsicherheitsgrenze darstellt. Die Schwachstelle ist besonders gefährlich, da sie die Windows-Task-Scheduler-ALPC-Schnittstelle betrifft, die auf allen Windows-Systemen von Windows 7 bis Windows 10 und entsprechenden Server-Editionen vorhanden ist. Eine erfolgreiche Ausnutzung gewährt dem Angreifer uneingeschränkten Zugriff auf alle Systemressourcen, die Möglichkeit zur Installation persistenter Backdoors und Kontrolle über Sicherheitsmechanismen. Die dokumentierte Nutzung durch die PowerPool-Bedrohungsgruppe und der EPSS-Score in der 99,9. Perzentile bestätigen, dass diese Schwachstelle ein Standardwerkzeug in realen Angriffsarsenalen ist.
Exploit-Reifegrad
CVE-2018-8440 verfügt über extrem ausgereifte Exploit-Verfügbarkeit, wobei öffentlicher Proof-of-Concept-Code vor dem Microsoft-Patch veröffentlicht wurde (Zero-Day-Veröffentlichung). Die PowerPool-Bedrohungsgruppe wurde innerhalb von Tagen nach der öffentlichen Offenlegung im August 2018 bei der Ausnutzung beobachtet. Der EPSS-Score von 97,3 % (99,9. Perzentile) spiegelt nahezu universelle Ausnutzungsaktivität wider. Mehrere Exploit-Frameworks enthalten Module für diese Schwachstelle.
Behebung
- Wenden Sie das Microsoft-Sicherheitsupdate vom September 2018 (KB4457131 und verwandte Updates) an, das die ALPC-Schwachstelle im Windows Task Scheduler auf allen betroffenen Windows-Versionen behebt.
- Stellen Sie sicher, dass alle Windows-Systeme in automatische Windows-Updates eingeschrieben sind, um das Versäumen kritischer Sicherheitspatches zu vermeiden.
- Implementieren Sie Application-Whitelisting und Endpoint-Detection-and-Response-Lösungen (EDR), um Rechteeskalationsversuche über die Task-Scheduler-ALPC-Schnittstelle zu erkennen und zu blockieren.
- Beschränken Sie lokale Anmelderechte und setzen Sie das Prinzip der geringsten Berechtigung durch, um die Anzahl der Konten zu minimieren, die als Ausgangspunkt für Rechteeskalation genutzt werden könnten.
- Überwachen Sie Kompromittierungsindikatoren (IOCs) der PowerPool-Bedrohungsgruppe und anderer bekannter Akteure.
Technische Details
CVE-2018-8440 nutzt einen Fehler in der Advanced Local Procedure Call (ALPC)-Schnittstelle des Windows Task Schedulers aus, insbesondere in der SchRpcSetSecurity-API-Funktion. Die Schwachstelle ermöglicht es einem niedrig privilegierten lokalen Benutzer, SchRpcSetSecurity aufzurufen, um einen Hard Link zu einer geschützten Systemdatei zu setzen, wobei normale DACL-Prüfungen umgangen werden, da der Task-Scheduler-Dienst als SYSTEM ausgeführt wird. Durch Erstellen eines Hard Links auf eine Ziel-DLL und anschließendes Auslösen des Task Schedulers zum Überschreiben kann ein Angreifer eine System-Binary durch Schadcode ersetzen. Der Exploit wurde im August 2018 als Zero-Day öffentlich offengelegt, bevor Microsoft im September 2018 einen Patch veröffentlichte.
Häufig gestellte Fragen
Wird CVE-2018-8440 aktiv ausgenutzt?
Ja, CVE-2018-8440 wird seit der Offenlegung als Zero-Day im August 2018 extensiv in der freien Wildbahn ausgenutzt. Die PowerPool-Malware-Gruppe gehörte zu den ersten, die diese Schwachstelle bewaffneten, und CISA hat die aktive Ausnutzung durch die KEV-Aufnahme bestätigt. Der EPSS-Score von 97,3 % (99,9. Perzentile) spiegelt nahezu universelle Ausnutzung wider.
Welche Systeme sind von CVE-2018-8440 betroffen?
CVE-2018-8440 betrifft Windows 7, Windows 8.1, Windows 10, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2 und Windows Server 2016 — im Wesentlichen alle zum Zeitpunkt der Offenlegung aktiv genutzten Windows-Versionen. Alle Systeme ohne das September-2018-Sicherheitsupdate sind verwundbar.
Wie behebe ich CVE-2018-8440?
Wenden Sie das Microsoft-Sicherheitsupdate vom September 2018 (Patch Tuesday) an, das die ALPC-Schwachstelle im Windows Task Scheduler behebt. Stellen Sie sicher, dass alle Windows-Systeme in automatische Updates eingeschrieben sind, und setzen Sie EDR-Lösungen zur Erkennung von Rechteeskalationsversuchen ein.
Wie schwerwiegend ist CVE-2018-8440?
CVE-2018-8440 ist eine kritische Privilege-Escalation-Schwachstelle mit einem EPSS-Score in der 99,9. Perzentile. Sie wurde als Zero-Day offengelegt, innerhalb von Tagen von der PowerPool-Bedrohungsgruppe ausgenutzt und ermöglicht jedem lokalen Benutzer SYSTEM-Zugriff. Die weitverbreitete Ausnutzung, der ausgereifte Exploit-Code und die universelle Windows-Anwendbarkeit machen sie zu einer der bedeutendsten Privilege-Escalation-Schwachstellen im Windows-Ökosystem.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.