CVE-2018-8611
Microsoft Windows Kernel Privilege Escalation Vulnerability
Beschreibung
CVE-2018-8611 ist eine Rechteeskalations-Schwachstelle im Microsoft Windows-Kernel, die durch unsachgemäße Behandlung von Objekten im Speicher verursacht wird. Ein lokaler Angreifer, der bereits Codeausführung auf dem System erlangt hat, kann diese Schwachstelle ausnutzen, um seine Berechtigungen von einem Standardbenutzer auf SYSTEM-Ebene zu eskalieren und damit vollständige Kontrolle über den betroffenen Windows-Rechner zu erlangen. Diese Schwachstelle wurde aktiv als Zero-Day ausgenutzt, bevor Microsoft einen Patch veröffentlichte. CISA hat die Ausnutzung bestätigt, indem sie CVE-2018-8611 in den Known Exploited Vulnerabilities Katalog aufgenommen hat. Mit einem EPSS-Perzentil von 94,8 % stellt CVE-2018-8611 ein hochprioritäres Ziel für die Behebung dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/106082(Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-8611(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-8611(US Government Resource)
Schwachstellentyp
Da CVE-2018-8611 keinem spezifischen CWE zugeordnet wurde, bleibt der zugrunde liegende Schwachstellentyp formal unspezifiziert. Die Schwachstelle betrifft die unsachgemäße Objektbehandlung im Windows-Kernel-Speicher, was typischerweise auf eine Use-after-free-, Type-Confusion- oder Integer-Overflow-Bedingung im Kernel-Modus-Code hindeutet. Wenn der Kernel Speicherobjekte nicht ordnungsgemäß verfolgt und validiert, kann ein Angreifer diese Objekte manipulieren, um Kernel-Datenstrukturen zu korrumpieren und den Ausführungsfluss zur Rechteeskalation umzuleiten.
Auswirkungsanalyse
CVE-2018-8611 ermöglicht eine lokale Rechteeskalation von jedem Prozess auf Benutzerebene zu SYSTEM-Privilegien auf betroffenen Windows-Systemen. Die Schwachstelle erfordert lokalen Zugriff, was bedeutet, dass der Angreifer bereits die Fähigkeit haben muss, Code auf dem Zielsystem auszuführen, aber es werden keine besonderen Privilegien über den grundlegenden Benutzerzugang hinaus benötigt. Nach der Ausnutzung erlangt der Angreifer SYSTEM-Kontrolle, die uneingeschränkten Zugriff auf alle Systemressourcen bietet, die Möglichkeit, Rootkits zu installieren, administrative Konten zu erstellen, auf alle Benutzerdaten und Anmeldeinformationen zuzugreifen und Sicherheitssoftware zu deaktivieren. Das EPSS-Perzentil von 94,8 % spiegelt die anhaltende Ausnutzungsaktivität wider, und die Geschichte der Schwachstelle als Zero-Day bestätigt, dass sie in gezielten Angriffen verwendet wurde, bevor ein Patch verfügbar war.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2018-8611 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 14. Juni 2022 in den Known Exploited Vulnerabilities Katalog aufgenommen. CVE-2018-8611 wurde ursprünglich als Zero-Day-Schwachstelle entdeckt, die in gezielten Angriffen aktiv ausgenutzt wurde, bevor Microsoft im Dezember 2018 ein Sicherheitsupdate veröffentlichte. Das EPSS-Perzentil von 94,8 % bestätigt das anhaltende Ausnutzungsinteresse. Windows-Kernel-Rechteeskalations-Schwachstellen sind für Angreifer äußerst wertvoll, da sie einen universellen Eskalationspfad von jeder Kompromittierung auf Benutzerebene zur vollen SYSTEM-Kontrolle bieten.
Behebung
- Wenden Sie das Microsoft-Sicherheitsupdate an, das CVE-2018-8611 behebt. CISAs vorgeschriebene Maßnahme lautet: Updates gemäß Herstelleranweisungen anwenden. Der Fix wurde als Teil des Dezember-2018-Patch-Tuesday veröffentlicht.
- Stellen Sie sicher, dass Windows Update für die automatische Installation von Sicherheitsupdates konfiguriert ist, und überprüfen Sie, dass das spezifische Update für diese Schwachstelle auf allen Windows-Endgeräten angewendet wurde.
- Implementieren Sie Kernel-Exploitation-Mitigationen wie Virtualization-Based Security (VBS) und Hypervisor-Protected Code Integrity (HVCI), die die Auswirkungen von Kernel-Speicherkorruptions-Schwachstellen begrenzen können.
- Setzen Sie Endpoint-Detection-and-Response-(EDR)-Lösungen ein, die Kernel-Ausnutzungsversuche erkennen können, einschließlich verdächtiger Systemaufruf-Muster und anomaler Privilegienübergänge.
- Wenden Sie das Prinzip der minimalen Rechtevergabe an, um die Anzahl der Benutzerkonten und Prozesse zu begrenzen, die als initialer Zugangspunkt für die Ausnutzung dienen könnten.
Technische Details
CVE-2018-8611 zielt auf den Speicherobjekt-Behandlungsmechanismus des Windows-Kernels ab. Der Kernel verwaltet eine komplexe Menge von Objekten im Kernel-Modus-Speicher für Ressourcen wie Prozesse, Threads, Dateien und Synchronisierungsprimitive. Wenn diese Objekte während ihres Lebenszyklus nicht ordnungsgemäß validiert, verfolgt oder bereinigt werden, kann eine Speicherkorruption auftreten. Die Schwachstelle ermöglicht es einem lokalen Angreifer, eine unsachgemäße Speicheroperation auszulösen, die Kernel-Datenstrukturen korrumpiert, welche dann genutzt werden können, um kritische Kernel-Pointer wie Token-Objekte oder Funktionspointer zu überschreiben. Durch die Manipulation dieser Strukturen kann der Angreifer sein Prozess-Token von einem Standardbenutzer auf SYSTEM erhöhen und so uneingeschränkten Zugriff auf das Betriebssystem erlangen. Die Tatsache, dass dies als Zero-Day ausgenutzt wurde, zeigt, dass ausgefeilte Bedrohungsakteure zuverlässige Ausnutzungstechniken entwickelten, bevor die Schwachstelle öffentlich bekannt war.
Häufig gestellte Fragen
Wird CVE-2018-8611 aktiv ausgenutzt?
Ja, CVE-2018-8611 wurde aktiv als Zero-Day-Schwachstelle ausgenutzt, bevor Microsoft im Dezember 2018 einen Patch veröffentlichte. CISA hat sie in den Known Exploited Vulnerabilities Katalog aufgenommen. Das EPSS-Perzentil von 94,8 % bestätigt eine hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2018-8611 betroffen?
CVE-2018-8611 betrifft den Microsoft Windows-Kernel über mehrere Windows-Versionen hinweg. Alle Windows-Systeme, die zum Zeitpunkt der Patch-Veröffentlichung im Dezember 2018 aktuell waren, sollten als potenziell betroffen betrachtet werden, bis das Sicherheitsupdate angewendet wird.
Wie behebe ich CVE-2018-8611?
Wenden Sie das im Dezember 2018 veröffentlichte Microsoft-Sicherheitsupdate an, das CVE-2018-8611 behebt. Überprüfen Sie, dass das Update über Windows Update oder Enterprise-Patch-Management-Tools auf allen Windows-Endgeräten angewendet wurde.
Wie schwerwiegend ist CVE-2018-8611?
CVE-2018-8611 ist eine Windows-Kernel-Rechteeskalations-Schwachstelle mit einem EPSS-Perzentil von 94,8 %, die als Zero-Day ausgenutzt wurde. Obwohl sie lokalen Zugriff erfordert, ermöglicht sie die Eskalation auf SYSTEM-Privilegien und bietet vollständige Kontrolle über das betroffene System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.