CVE-2018-8589
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2018-8589 ist eine Schwachstelle zur Rechteausweitung in Windows, die durch fehlerhafte Behandlung von Aufrufen an Win32k.sys verursacht wird. Die Schwachstelle ermöglicht es einem Angreifer, der bereits Zugang zu einem System erlangt hat, Code im Sicherheitskontext des lokalen Systems auszuführen und damit effektiv SYSTEM-Level-Privilegien zu erreichen. CISA hat die aktive Ausnutzung bestätigt und CVE-2018-8589 in den Known Exploited Vulnerabilities Katalog aufgenommen. Mit einem EPSS-Perzentil von 97,6 % gehört diese Schwachstelle zu den am aktivsten ausgenutzten Windows-Kernel-Schwachstellen und wurde als Zero-Day in gezielten Angriffen eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows server 2008 | -; r2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/105796(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1042140(Broken Link, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8589(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-8589(US Government Resource)
Schwachstellentyp
CWE-269: Fehlerhafte Privilegienverwaltung
CWE-269 beschreibt Schwachstellen, bei denen ein Produkt Privilegien nicht korrekt zuweist, ändert, verfolgt oder überprüft. Bei CVE-2018-8589 versagt der Win32k.sys-Kernelmodustreiber bei der korrekten Verwaltung von Privilegiengrenzen während bestimmter Systemaufruf-Behandlungen, was einem lokalen Angreifer ermöglicht, Code mit SYSTEM-Level-Privilegien aus einem niedrigeren Privilegienkontext auszuführen.
Weitere Informationen: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2018-8589 ist eine lokale Schwachstelle zur Rechteausweitung im Windows-Win32k.sys-Kernelmodustreiber, die es einem Angreifer ermöglicht, Code mit SYSTEM-Level-Privilegien auszuführen. Win32k.sys ist für das grafische Windows-Subsystem verantwortlich und behandelt Fensterverwaltung, Grafikrendering und Benutzereingabeverarbeitung auf Kernel-Ebene. Eine Schwachstelle in dieser Komponente ist besonders schwerwiegend, da die Ausnutzung die höchste Privilegienstufe auf dem System gewährt, was dem Angreifer ermöglicht, Rootkits zu installieren, Sicherheitssoftware zu deaktivieren, auf alle Daten einschließlich verschlüsselter Anmeldedaten zuzugreifen und persistenten Zugang aufrechtzuerhalten. Das EPSS-Perzentil von 97,6 % weist auf extrem hohe Ausnutzungsaktivität hin. Die Schwachstelle betrifft die Win32k-Komponente direkt, die im Kernel-Adressraum geladen ist, was die Ausnutzung besonders gefährlich macht, da sie auf der Ring-0-Privilegienstufe operiert.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2018-8589 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 13. Juni 2022 aufgenommen. Das EPSS-Perzentil von 97,6 % platziert diese Schwachstelle unter den am häufigsten ausgenutzten Windows-Kernel-Schwachstellen. CVE-2018-8589 wurde bei der Ausnutzung als Zero-Day durch fortgeschrittene Bedrohungsakteure entdeckt. Win32k.sys ist historisch eine der am stärksten angegriffenen Komponenten im Windows-Kernel, mit Dutzenden von Privilegieneskalations-Schwachstellen, die im Laufe der Jahre darin entdeckt wurden. Die Exploit-Techniken für Win32k-Schwachstellen sind in der Sicherheitsforschungsgemeinschaft gut dokumentiert.
Behebung
- Spielen Sie die von Microsoft bereitgestellten Sicherheitsupdates für Win32k.sys ein, wie in der Sicherheitsempfehlung vom November 2018 angegeben. CISA verlangt eine Behebung bis zum 13. Juni 2022.
- Priorisieren Sie das Patching auf hochwertigen Systemen einschließlich Servern, Domänencontrollern und Arbeitsplätzen privilegierter Benutzer, da SYSTEM-Level-Zugang auf diesen Systemen die schwerwiegendsten Konsequenzen hätte.
- Setzen Sie Endpoint-Detection-and-Response-Lösungen (EDR) mit Kernel-Level-Monitoring-Fähigkeiten ein, die Win32k-Ausnutzungsversuche erkennen können, einschließlich anomaler Systemaufrufmuster und unerwarteter Privilegienübergänge.
- Implementieren Sie Application Whitelisting und Prozessintegritäts-Monitoring, um die Fähigkeit nicht autorisierten Codes einzuschränken, Systemaufrufe an Win32k.sys auszuführen.
- Wenden Sie das Prinzip der minimalen Rechtevergabe auf alle Benutzerkonten an und stellen Sie sicher, dass Sicherheitssoftware mit Anti-Exploit-Fähigkeiten auf allen Windows-Endgeräten bereitgestellt und korrekt konfiguriert ist.
Technische Details
CVE-2018-8589 ist eine Schwachstelle zur Rechteausweitung in Win32k.sys, dem Kernelmodustreiber, der das grafische Windows-Subsystem implementiert. Die Schwachstelle besteht in der Art und Weise, wie Win32k.sys bestimmte Aufrufe im Zusammenhang mit Fensterverwaltungsoperationen behandelt. Wenn bestimmte Sequenzen von Win32k-Systemaufrufen aufgerufen werden, versagt der Treiber bei der ordnungsgemäßen Validierung oder Verwaltung des Privilegienkontexts des Aufrufers, was eine Bedingung schafft, die zur Ausführung beliebigen Codes auf Kernel-Ebene ausgenutzt werden kann. Win32k.sys operiert im Kernelmodus (Ring 0), was bedeutet, dass die Codeausführung durch diese Schwachstelle mit der höchsten in Windows verfügbaren Privilegienstufe läuft. Sobald Kernel-Level-Codeausführung erreicht ist, kann der Angreifer Kernel-Datenstrukturen einschließlich Prozess-Tokens ändern, um jeden Prozess auf SYSTEM-Privilegien zu erhöhen und Kernel-Level-Rootkits zu installieren.
Häufig gestellte Fragen
Wird CVE-2018-8589 aktiv ausgenutzt?
Ja, CVE-2018-8589 wurde als Zero-Day von fortgeschrittenen Bedrohungsakteuren ausgenutzt, bevor ein Patch verfügbar war. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 97,6 % bestätigt, dass sie zu den am häufigsten ausgenutzten Windows-Kernel-Schwachstellen gehört.
Welche Produkte sind von CVE-2018-8589 betroffen?
CVE-2018-8589 betrifft die Win32k.sys-Komponente in Microsoft Windows. Dieser Kernelmodustreiber ist auf allen Windows-Systemen vorhanden. Administratoren sollten die Microsoft-Sicherheitsempfehlung vom November 2018 für die spezifischen betroffenen Betriebssystemversionen konsultieren.
Wie behebe ich CVE-2018-8589?
Installieren Sie die Microsoft-Sicherheitsupdates für die betroffenen Windows-Versionen. Priorisieren Sie das Patching auf Domänencontrollern und hochwertigen Servern. Setzen Sie EDR-Lösungen mit Kernel-Level-Monitoring ein.
Wie schwerwiegend ist CVE-2018-8589?
CVE-2018-8589 ist eine kritische Kernel-Level-Privilegieneskalation mit einem EPSS-Perzentil von 97,6 %. Eine erfolgreiche Ausnutzung gewährt SYSTEM-Privilegien — die höchste Stufe unter Windows — und ermöglicht die vollständige Kontrolle über das betroffene System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.