CVE-2019-0708
Microsoft Remote Desktop Services Remote Code Execution Vulnerability
Beschreibung
CVE-2019-0708, weithin bekannt als BlueKeep, ist eine kritische (CRITICAL) Remote-Code-Execution-Schwachstelle in Microsoft Remote Desktop Services (ehemals Terminaldienste) mit einem CVSS-3.1-Score von 9,8. Ein nicht authentifizierter Angreifer kann sich über RDP mit dem Zielsystem verbinden und speziell gestaltete Anfragen senden, um ohne jegliche Benutzerinteraktion beliebigen Code auszuführen. Betroffen sind Windows 7, Windows Server 2008 und 2008 R2, Windows XP und Windows Server 2003. Diese CVE ist im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) gelistet mit einer Behebungsfrist bis zum 03.05.2022. Mit einem EPSS-Score von 0,94454 (99,99. Perzentil) weist diese Schwachstelle die höchste reale Ausnutzungswahrscheinlichkeit auf. Diese Schwachstelle hat bekannte Ransomware-Verbindungen und gilt als wurmartig verbreitbar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows server 2008 | -; r2 |
| siemens | axiom multix m firmware | Alle Versionen |
| siemens | axiom vertix md trauma firmware | Alle Versionen |
| siemens | axiom vertix solitaire m firmware | Alle Versionen |
| siemens | mobilett xp digital firmware | Alle Versionen |
| siemens | multix pro acss p firmware | Alle Versionen |
| siemens | multix pro p firmware | Alle Versionen |
| siemens | multix pro firmware | Alle Versionen |
| siemens | multix pro acss firmware | Alle Versionen |
| siemens | multix pro navy firmware | Alle Versionen |
| siemens | multix swing firmware | Alle Versionen |
| siemens | multix top firmware | Alle Versionen |
| siemens | multix top acss firmware | Alle Versionen |
| siemens | multix top p firmware | Alle Versionen |
| siemens | multix top acss p firmware | Alle Versionen |
| siemens | vertix solitaire firmware | Alle Versionen |
| siemens | atellica solution firmware | Alle Versionen |
| siemens | aptio firmware | Alle Versionen |
| siemens | streamlab firmware | Alle Versionen |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/153133/Microsoft-Windows-Remote-Desktop-BlueKeep-Denial-Of-Service.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/153627/Microsoft-Windows-RDP-BlueKeep-Denial-Of-Service.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154579/BlueKeep-RDP-Remote-Windows-Kernel-Use-After-Free.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/155389/Microsoft-Windows-7-x86-BlueKeep-RDP-Use-After-Free.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/162960/Microsoft-RDP-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20190529-01-windows-en(Third Party Advisory)
- http://www.huawei.com/en/psirt/security-notices/huawei-sn-20190515-01-windows-en(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-166360.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-406175.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-433987.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-616199.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-832947.pdf(Third Party Advisory)
- https://cert-portal.siemens.com/productcert/pdf/ssa-932041.pdf(Third Party Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-0708(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CVE-2019-0708 wird unter CWE-416 — Use After Free klassifiziert. Use-After-Free-Schwachstellen treten auf, wenn Software einen Zeiger weiter verwendet, nachdem der referenzierte Speicher freigegeben wurde. Sobald Speicher freigegeben ist, kann er für andere Zwecke neu zugewiesen werden. Wird der verwaiste Zeiger anschließend dereferenziert, kann das Programm in Speicher lesen oder schreiben, der nun für andere Datenstrukturen genutzt wird, was zu Datenkorruption, Informationslecks oder Code-Execution führt.
Im Kontext von Microsoft Remote Desktop Services existiert die Use-After-Free-Bedingung in der RDP-Protokollverarbeitung. Wenn ein Angreifer speziell gestaltete RDP-Verbindungsanfragen sendet, gibt der Dienst ein internes Kanalobjekt fälschlicherweise frei, behält aber eine Referenz darauf. Nachfolgende Operationen, die diese verwaiste Referenz nutzen, können manipuliert werden, um beliebigen Code mit SYSTEM-Rechten auszuführen.
Mehr erfahren: CWE-416 — Use After Free
Auswirkungsanalyse
CVE-2019-0708 hat einen CVSS-3.1-Score von 9,8 (CRITICAL) mit unverändertem Scope.
Vertraulichkeit (HIGH): Eine erfolgreiche Ausnutzung gewährt dem Angreifer SYSTEM-Zugriff ohne jegliche Authentifizierung und legt alle Daten offen, einschließlich Anmeldedaten, Dokumente, Verschlüsselungsschlüssel und sensible Informationen.
Integrität (HIGH): Mit SYSTEM-Level-Code-Execution können Angreifer Backdoors installieren, Malware einsetzen, Systemkonfigurationen ändern, neue Administratorkonten erstellen und kritische Daten manipulieren oder zerstören.
Verfügbarkeit (laut CVSS NONE, in der Praxis HIGH): Obwohl der CVSS-Vektor die Verfügbarkeitsauswirkung als NONE bewertet, hat die reale Ausnutzung erhebliche Verfügbarkeitsauswirkungen durch Systemabstürze, Ransomware-Einsatz und Dienstverweigerung gezeigt.
Scope unverändert: Der CVSS-Scope ist unverändert, aber die wurmartige Eigenschaft bedeutet, dass ein einzelner kompromittierter Host den Angriff automatisch auf alle erreichbaren RDP-fähigen Systeme verbreiten kann.
Mit einem EPSS-Score von 0,94454 (99,99. Perzentil) und bestätigten Ransomware-Verbindungen stellt BlueKeep eine der kritischsten Schwachstellen in der modernen Bedrohungslandschaft dar.
Exploit-Reifegrad
CVE-2019-0708 (BlueKeep) hat bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet.
Exploit-Status: Mehrere waffenfähige Exploits sind öffentlich verfügbar, darunter Metasploit-Module und eigenständige Proof-of-Concept-Code. Die Schwachstelle wurde im Mai 2019 gepatcht, und zuverlässige Remote-Code-Execution-Exploits entstanden innerhalb weniger Monate. Microsoft veröffentlichte außerordentlicherweise Patches für nicht mehr unterstützte Betriebssysteme (Windows XP und Server 2003).
Ransomware-Verbindung: Diese Schwachstelle hat bestätigte Ransomware-Verbindungen. Bedrohungsakteure haben BlueKeep für den initialen Zugriff in Ransomware-Kampagnen genutzt, und die wurmartige Natur schafft das Potenzial für selbstverbreitende Ransomware.
Angriffsfläche: RDP (Port 3389) ist einer der am häufigsten im Internet exponierten Dienste. Shodan- und Censys-Scans identifizieren konsistent Millionen von RDP-Endpunkten. Die Schwachstelle erfordert keine Authentifizierung und keine Benutzerinteraktion.
KEV-Frist: CISA forderte Bundesbehörden auf, diese Schwachstelle bis zum 03.05.2022 zu beheben. Microsoft, NSA und mehrere Cybersicherheitsbehörden gaben dringliche Warnungen aus.
Behebung
- Herstellerpatches sofort anwenden. Wenden Sie Updates gemäß den Herstelleranweisungen an. Installieren Sie das Sicherheitsupdate von Mai 2019 gemäß dem Microsoft Security Advisory für alle betroffenen Systeme.
- Network Level Authentication (NLA) aktivieren. NLA erfordert eine Authentifizierung vor der vollständigen RDP-Verbindung und bietet eine teilweise Mitigation gegen nicht authentifizierte Ausnutzung.
- RDP-Zugriff einschränken. Blockieren Sie RDP (Port 3389) an Perimeter-Firewalls. Verwenden Sie VPN-Verbindungen oder Jump-Server statt direkter RDP-Exposition im Internet. Implementieren Sie Netzwerksegmentierung.
- Betroffene Systeme identifizieren. Identifizieren Sie alle Systeme mit Windows 7, Windows Server 2008/R2, Windows XP oder Windows Server 2003 mit aktivierten Remote Desktop Services.
- Auf Anzeichen früherer Ausnutzung prüfen. Überprüfen Sie RDP-Verbindungsprotokolle, Windows-Ereignisprotokolle und Netzwerkverkehrsprotokolle auf BlueKeep-Ausnutzungsindikatoren.
- RDP-spezifisches Monitoring implementieren. Setzen Sie Intrusion-Detection-Signaturen für BlueKeep-Ausnutzungsversuche ein und überwachen Sie anomalen RDP-Datenverkehr auf Port 3389.
Technische Details
CVE-2019-0708 ist eine kritische Schwachstelle in Microsoft Remote Desktop Services, die aus der Ferne über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar ist. Die Angriffskomplexität ist niedrig.
Technischer Mechanismus: Die Schwachstelle existiert in der RDP-Protokollverarbeitung innerhalb der Remote Desktop Services-Komponente. Bei der Verarbeitung speziell gestalteter RDP-Verbindungsanfragen bindet der Dienst den virtuellen Kanal MS_T120 fälschlicherweise an einen anderen als den erwarteten Kanal 31. Bei der anschließenden Verbindungsbeendigung wird eine Use-After-Free-Bedingung ausgelöst, da das MS_T120-Kanalobjekt freigegeben wird, während eine verwaiste Referenz bestehen bleibt. Ein Angreifer kann diesen freigegebenen Speicher durch Heap-Grooming-Techniken manipulieren, um beliebigen Code mit SYSTEM-Rechten auszuführen.
CVSS-3.1-Vektoranalyse: Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N zeigt einen Angriffsvektor NETWORK, Angriffskomplexität LOW, benötigte Privilegien NONE, Benutzerinteraktion NONE, Scope UNCHANGED und HIGH-Auswirkungen auf Vertraulichkeit und Integrität. Die Kombination aus Netzwerkzugänglichkeit, keiner Authentifizierungsanforderung und keiner Benutzerinteraktion macht dies zu einer der am einfachsten ausnutzbaren kritischen Schwachstellen.
Häufig gestellte Fragen
Wird CVE-2019-0708 aktiv ausgenutzt?
Ja, CVE-2019-0708 (BlueKeep) hat bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet. Mehrere öffentliche Exploits einschließlich Metasploit-Module sind verfügbar. Microsoft, NSA und CISA gaben dringliche Warnungen aus. Der EPSS-Score von 0,94454 (99,99. Perzentil) repräsentiert die höchste Stufe der Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2019-0708 betroffen?
Betroffen sind Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows XP und Windows Server 2003. Microsoft veröffentlichte Patches für alle diese Versionen, einschließlich der nicht mehr unterstützten Systeme Windows XP und Server 2003, was die außergewöhnliche Schwere widerspiegelt.
Wie behebe ich CVE-2019-0708?
Wenden Sie das Sicherheitsupdate von Mai 2019 von Microsoft für alle betroffenen Systeme an. Aktivieren Sie Network Level Authentication (NLA) als zusätzliche Schutzmaßnahme. Blockieren Sie RDP-Zugriff an Perimeter-Firewalls und verwenden Sie VPN oder Jump-Server. Implementieren Sie Netzwerksegmentierung.
Wie schwerwiegend ist CVE-2019-0708?
CVE-2019-0708 wird mit CRITICAL und einem CVSS-3.1-Score von 9,8 bewertet, nahe dem Maximum. Mit einem EPSS-Score von 0,94454 (99,99. Perzentil) hat sie die höchste Ausnutzungswahrscheinlichkeit. Sie erfordert keine Authentifizierung, keine Benutzerinteraktion und ist wurmartig verbreitbar. Sie hat bestätigte Ransomware-Verbindungen und löste dringliche Warnungen von Microsoft, NSA und CISA aus.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.