CVE-2018-8453
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2018-8453 ist eine Schwachstelle mit dem Schweregrad HIGH zur Privilegieneskalation in der Microsoft Windows Win32k-Komponente, die Kernel-Mode-Grafikoperationen verarbeitet. Die Schwachstelle ermöglicht einem lokalen Angreifer, Privilegien durch Ausnutzung unsachgemäßer Objektverarbeitung im Speicher des Win32k-Kerneltreibers zu eskalieren. Mit einem CVSS-3.1-Score von 7.8 gewährt die erfolgreiche Ausnutzung SYSTEM-Level-Privilegien auf dem betroffenen Windows-Host. Die Schwachstelle betrifft zahlreiche Windows-Versionen, darunter Windows 7, Windows 8.1, Windows 10 (mehrere Builds) und Windows Server-Editionen von 2008 bis 2019. CISA hat CVE-2018-8453 am 21. Januar 2022 in den KEV-Katalog aufgenommen und bestätigte Verbindungen zu Ransomware-Kampagnen. Der EPSS-Score von 0,78167 (98,99. Perzentile) spiegelt eine sehr hohe Ausnutzungswahrscheinlichkeit wider, konsistent mit dem Einsatz in APT-Kampagnen und Ransomware-Operationen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1709 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/153669/Microsoft-Windows-NtUserSetWindowFNID-Win32k-User-Callback.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/105467(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1041828(Broken Link, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8453(Patch, Vendor Advisory)
- https://securelist.com/cve-2018-8453-used-in-targeted-attack(Exploit, Technical Description, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-8453(US Government Resource)
Schwachstellentyp
Win32k Kernel-Mode Privilegieneskalation
CVE-2018-8453 ist eine Kernel-Mode-Privilegieneskalationsschwachstelle in der Win32k-Komponente von Microsoft Windows. Win32k (win32k.sys) ist ein Kernel-Mode-Treiber, der das Windows-Grafiksubsystem verwaltet, einschließlich Fensterverwaltung, Anzeige und Eingabeverarbeitung. Aufgrund seiner Komplexität und der großen Anzahl von System-Calls, die er bereitstellt, ist Win32k historisch eine der häufigsten Quellen lokaler Privilegieneskalationsschwachstellen in Windows.
Die Schwachstelle betrifft speziell die unsachgemäße Handhabung von Objekten im Speicher innerhalb der Callback-Mechanismen von Win32k. Der Win32k-Treiber verarbeitet User-Mode-Callback-Funktionen während bestimmter Fensterverwaltungsoperationen, und die Schwachstelle entsteht, wenn der Treiber Objektzustandsänderungen, die während dieser Callbacks auftreten, nicht ordnungsgemäß validiert oder verfolgt. Ein Angreifer kann eine speziell gestaltete Anwendung erstellen, die bestimmte Callback-Sequenzen auslöst, wodurch der Win32k-Treiber ein Kernel-Objekt in einem inkonsistenten Zustand verwendet. Dies kann zu einer Use-After-Free- oder Type-Confusion-Bedingung im Kernel-Speicher führen, die der Angreifer nutzt, um beliebigen Code mit Kernel-Level-(SYSTEM-)Privilegien auszuführen. Die Schwachstelle wurde von Kaspersky Lab bei aktiver Ausnutzung entdeckt und der FruityArmor-APT-Gruppe zugeschrieben. Mehr über Win32k-Schwachstellen erfahren
Auswirkungsanalyse
CVE-2018-8453 weist einen CVSS-3.1-Basiswert von 7.8 (HIGH) mit lokalen Privilegieneskalationscharakteristiken auf.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung hebt den Angreifer auf SYSTEM-Level-Privilegien auf dem Windows-Host. SYSTEM ist die höchste Privilegienstufe in Windows und bietet uneingeschränkten Zugriff auf alle Daten im System, einschließlich SAM-Datenbank-Passwort-Hashes, LSASS-Prozessspeicher mit zwischengespeicherten Domänen-Anmeldedaten, DPAPI-Masterschlüssel, private Zertifikatsschlüssel und alle Benutzerdaten. In domänenverbundenen Umgebungen ermöglicht SYSTEM-Zugriff die Extraktion von Kerberos-Ticket-Granting-Tickets für laterale Bewegung.
Integrität (Hoch): Mit SYSTEM-Privilegien hat der Angreifer die uneingeschränkte Fähigkeit, jede Datei, jeden Registrierungsschlüssel oder jede Systemkonfiguration auf dem Host zu modifizieren. Dies ermöglicht die Installation von Rootkits, die sich im Kernel verstecken, Modifikation der Boot-Konfiguration für Persistenz, Manipulation von Sicherheits-Ereignisprotokollen zur Verschleierung des Einbruchs und Änderung von Sicherheitssoftware-Konfigurationen zur Deaktivierung des Endpunktschutzes.
Verfügbarkeit (Hoch): SYSTEM-Level-Zugriff ermöglicht vollständige Kontrolle über das Betriebssystem, einschließlich der Fähigkeit, jeden Prozess zu beenden, kritische Dienste zu deaktivieren, das Dateisystem mit Ransomware zu verschlüsseln oder einen Kernel-Level-Absturz (Blue Screen of Death/BSOD) zu verursachen. Die bestätigte Ransomware-Verbindung zeigt, dass sich diese Verfügbarkeitsauswirkung in realen Angriffen manifestiert hat.
Scope (Unverändert): Der Scope bleibt innerhalb des Windows-Hostsystems. SYSTEM-Level-Zugriff auf einer domänenverbundenen Maschine ermöglicht jedoch zahlreiche laterale Bewegungstechniken. Der EPSS-Score von 0,78167 (98,99. Perzentile) bestätigt, dass diese Schwachstelle zu den obersten 1% der am stärksten ausgenutzten CVEs gehört.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2018-8453 wurde als Zero-Day von der FruityArmor-APT-Gruppe aktiv ausgenutzt, bevor Microsoft einen Patch veröffentlichte. Kaspersky Lab identifizierte die Ausnutzung in gezielten Angriffen und meldete sie an Microsoft. CISA hat die Schwachstelle am 21. Januar 2022 in den KEV-Katalog aufgenommen und bestätigt damit die fortgesetzte Ausnutzung über die ursprünglichen APT-Kampagnen hinaus.
Ransomware-Bezug: Der CISA-KEV-Katalog bestätigt ausdrücklich, dass CVE-2018-8453 mit bekannten Ransomware-Kampagnen in Verbindung steht. Die Privilegieneskalation von einem Standardbenutzer zu SYSTEM ist ein kritischer Schritt in Ransomware-Angriffsketten, der dem Angreifer ermöglicht, Sicherheitssoftware zu deaktivieren, auf alle Dateien im System zuzugreifen und Ransomware mit den höchstmöglichen Berechtigungen einzusetzen.
Öffentliche Exploits: Detaillierte Exploit-Analysen sind von Kasperskys Securelist verfügbar, die die Win32k NtUserSetWindowFNID User-Callback-Ausnutzung dokumentieren. Zusätzlicher öffentlicher Exploit-Code ist auf Packet Storm Security verfügbar.
EPSS-Kontext: Der EPSS-Score von 0,78167 (98,99. Perzentile) platziert dies im obersten 1% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit. Die Kombination aus APT-Grade-Ausnutzung, Ransomware-Verbindung und öffentlicher Exploit-Verfügbarkeit treibt diesen außergewöhnlich hohen Score.
KEV-Frist: Die CISA-Behebungsfrist war der 21. Juli 2022. Angesichts der Ransomware-Verbindung sollten alle Organisationen sicherstellen, dass dieser Patch auf allen betroffenen Windows-Systemen angewendet wird.
Behebung
-
Microsoft-Sicherheitsupdate für CVE-2018-8453 umgehend anwenden. Installieren Sie das Sicherheitsupdate von Oktober 2018 (oder ein späteres kumulatives Update) vom Microsoft Security Response Center über Windows Update oder WSUS. Dieser Patch korrigiert die Objektverarbeitung des Win32k-Kerneltreibers während User-Mode-Callback-Verarbeitung.
-
Patching basierend auf Ransomware-Risiko priorisieren. Aufgrund der bestätigten Ransomware-Verbindung geben Sie höchste Priorität an Systeme, die kritische Daten speichern, kundenorientierte Dienste betreiben oder als Sprungbretter für laterale Bewegung dienen (wie Domänencontroller, Jump-Server und administrative Arbeitsplätze).
-
Endpoint Detection and Response (EDR)-Lösungen einsetzen. Moderne EDR-Plattformen können Kernel-Mode-Ausnutzungsversuche erkennen, einschließlich der spezifischen Callback-Missbrauchsmuster, die mit Win32k-Privilegieneskalation verbunden sind. Stellen Sie sicher, dass EDR-Agenten eingesetzt und konfiguriert sind, um bei verdächtiger Win32k-Aktivität und Privilegieneskalationsindikatoren zu alarmieren.
-
Anwendungsausführungskontrollen implementieren. Da die Ausnutzung das Ausführen einer speziell gestalteten Anwendung erfordert, können Anwendungskontrollrichtlinien (AppLocker, Windows Defender Application Control), die einschränken, welche ausführbaren Dateien laufen können, das Risiko erheblich reduzieren. Verhindern Sie die Ausführung unsignierter oder nicht vertrauenswürdiger Anwendungen in benutzerzugänglichen Verzeichnissen.
-
Systeme auf Kompromittierungsindikatoren überprüfen. Suchen Sie nach Anzeichen von FruityArmor oder anderen APT-Tools, unerwarteten SYSTEM-Level-Prozessen, Modifikationen an Kerneltreiber-Dateien und Hinweisen auf Credential-Harvesting. Kasperskys Forschung liefert spezifische IOCs, die mit der ursprünglichen Ausnutzungskampagne verbunden sind.
-
Least Privilege für Benutzerkonten durchsetzen. Stellen Sie sicher, dass Benutzer mit Standard-(nicht-administrativen) Konten für tägliche Aufgaben arbeiten. Obwohl die Schwachstelle unabhängig von der Ausgangsprivilegienebene zu SYSTEM eskaliert, erschwert die Einschränkung des initialen Zugangs es Angreifern, den Punkt der Ausnutzung in einer mehrstufigen Angriffskette zu erreichen.
Technische Details
CVE-2018-8453 ist eine lokale Privilegieneskalationsschwachstelle im Windows Win32k Kernel-Mode-Treiber (win32k.sys). Die Schwachstelle befindet sich in der Verarbeitung des NtUserSetWindowFNID-Systemaufrufs, der Fenster-Funktions-ID-Zuweisungen verwaltet. Während der Verarbeitung bestimmter Fensterverwaltungsoperationen ruft Win32k User-Mode-Callback-Funktionen auf, während Referenzen auf Kernel-Objekte gehalten werden.
Die Ausnutzungstechnik umfasst die Erstellung einer speziell gestalteten Anwendung, die Fensterobjekte und ihre zugehörigen Callback-Funktionen manipuliert, um einen inkonsistenten Kernel-Zustand auszulösen. Der Angreifer löst einen User-Mode-Callback während der NtUserSetWindowFNID-Verarbeitung aus und führt innerhalb des Callbacks Operationen durch, die den Zustand von Kernel-Objekten verändern, die Win32k noch referenziert. Wenn der Callback zurückkehrt und Win32k die Verarbeitung mit den nun veralteten Objektreferenzen fortsetzt, tritt eine Use-After-Free- oder Type-Confusion-Bedingung im Kernel-Speicher auf.
Der CVSS-Vektor (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) gibt an, dass lokaler Zugang zusammen mit etwas Benutzerinteraktion erforderlich ist, aber keine Privilegien benötigt werden. Die Benutzerinteraktionskomponente spiegelt die Notwendigkeit wider, dass ein Benutzer ein bösartiges Dokument öffnet oder eine Anwendung ausführt, obwohl dies in gezielten Angriffsszenarien durch Social Engineering leicht erreichbar ist.
Der Angreifer nutzt die Kernel-Speicherkorruption, um kritische Kernel-Datenstrukturen zu überschreiben und letztendlich die Fähigkeit zu erlangen, beliebigen Code auf Ring 0 (Kernel-Ebene) auszuführen. Die Kaspersky-Analyse dokumentierte die vollständige Ausnutzungskette der FruityArmor-Gruppe, einschließlich Heap-Grooming zur Kontrolle des Layouts von Kernel-Pool-Allokationen, der spezifischen Callback-Manipulationssequenz und der finalen Privilegieneskalation vom korrumpierten Kernel-Zustand zur SYSTEM-Level-Codeausführung.
Häufig gestellte Fragen
Was ist CVE-2018-8453?
CVE-2018-8453 ist eine Privilegieneskalationsschwachstelle im Microsoft Windows Win32k Kernel-Mode-Treiber. Sie ermöglicht einem lokalen Angreifer, unsachgemäße Objektverarbeitung während User-Mode-Callbacks auszunutzen, um SYSTEM-Level-Privilegien zu erlangen. Die Schwachstelle wurde bei aktiver Zero-Day-Ausnutzung durch die FruityArmor-APT-Gruppe entdeckt und hat bestätigte Verbindungen zu Ransomware-Kampagnen. Sie hat einen CVSS-3.1-Score von 7.8 (HIGH).
Welche Windows-Versionen sind von CVE-2018-8453 betroffen?
CVE-2018-8453 betrifft eine breite Palette von Windows-Versionen, darunter Windows 7, Windows 8.1, Windows 10 (Builds 1507, 1607, 1703, 1709, 1803 und 1809), Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019 und verschiedene Windows Server Semi-Annual-Channel-Releases. Alle 32-Bit- und 64-Bit-Versionen dieser Betriebssysteme sind betroffen.
Wie behebe ich CVE-2018-8453?
Wenden Sie das kumulative Sicherheitsupdate von Oktober 2018 oder höher über Windows Update an. Microsofts Patch korrigiert die Objektverarbeitung des Win32k-Treibers während User-Mode-Callbacks. Setzen Sie nach dem Patching EDR-Lösungen ein, die Kernel-Ausnutzungsversuche erkennen können, implementieren Sie Anwendungsausführungskontrollen und überprüfen Sie Systeme auf Anzeichen früherer Kompromittierung.
Wie schwerwiegend ist CVE-2018-8453?
CVE-2018-8453 ist mit einem CVSS-Score von 7.8 als HIGH eingestuft. Der EPSS-Score von 0,78167 (98,99. Perzentile) bestätigt, dass sie zu den obersten 1% der am stärksten ausgenutzten Schwachstellen gehört. Sie wurde zunächst als Zero-Day von der FruityArmor-APT-Gruppe ausgenutzt und anschließend von Ransomware-Betreibern übernommen. CISA hat die Ransomware-Verbindung bestätigt und sie in den Known Exploited Vulnerabilities Katalog aufgenommen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.