CVE-2019-0797
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2019-0797 ist eine schwerwiegende Privilegieneskalations-Schwachstelle im Microsoft Win32k-Kernelmodustreiber. Die Schwachstelle tritt auf, wenn die Win32k-Komponente Objekte im Speicher nicht ordnungsgemäß verarbeitet, wodurch ein lokal authentifizierter Angreifer beliebigen Code im Kernelmodus ausführen und erhöhte Rechte auf dem System erlangen kann. Eine Vielzahl von Windows-Betriebssystemen ist betroffen, darunter Windows 10 (mehrere Versionen), Windows 8.1 und Windows Server 2012 bis 2019. Die CISA hat diese Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 6,09 % (90,64. Perzentil) weist CVE-2019-0797 eine bemerkenswerte Ausnutzungswahrscheinlichkeit auf.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1709 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0797(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-0797(US Government Resource)
Schwachstellentyp
Win32k-Speicherverarbeitungsschwachstelle
Diese Schwachstelle resultiert aus der unsachgemäßen Handhabung von Objekten im Speicher durch den Win32k-Kernelmodustreiber. Wenn die Win32k-Komponente Speicherobjekte nicht ordnungsgemäß verwaltet, kann ein Angreifer mit lokalem Zugriff diese Objekte manipulieren, um beliebigen Code mit Kernel-Privilegien auszuführen. Diese Art von Schwachstelle in Windows-Kernelmodustreibern ist ein häufiges Ziel für Privilegieneskalationsangriffe, da eine erfolgreiche Ausnutzung dem Angreifer vollständige Kontrolle über das betroffene System gewährt.
Mehr erfahren: CVE-2019-0797 — Microsoft Security Advisory
Auswirkungsanalyse
CVE-2019-0797 hat einen CVSS-3.1-Score von 7,8 (HOCH), was eine erhebliche Privilegieneskalationsbedrohung darstellt. Der Angriffsvektor ist lokal, was voraussetzt, dass der Angreifer bereits eine gewisse Zugriffsebene auf das System hat, aber die Angriffskomplexität ist gering und nur niedrige Privilegien werden benötigt. Keine Benutzerinteraktion ist für die Ausnutzung erforderlich. Vertraulichkeit (Hoch): Ein Angreifer, der in den Kernelmodus eskaliert, erhält Zugriff auf alle Daten des Systems, einschließlich geschützter Speicherbereiche und Anmeldedaten. Integrität (Hoch): Die Codeausführung auf Kernelebene ermöglicht es dem Angreifer, jede Systemkomponente zu ändern, Rootkits zu installieren oder Sicherheitskontrollen zu manipulieren. Verfügbarkeit (Hoch): Eine vollständige Systemstörung ist möglich, einschließlich der Fähigkeit, Systemabstürze zu verursachen oder kritische Dienste zu deaktivieren. Diese Schwachstelle ist besonders gefährlich, wenn sie mit einer Remote-Code-Execution-Schwachstelle verkettet wird.
Exploit-Reifegrad
CVE-2019-0797 wird durch die Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen als aktiv ausgenutzt bestätigt. Der EPSS-Score von 6,09 % (90,64. Perzentil) zeigt eine bemerkenswerte Ausnutzungswahrscheinlichkeit an und platziert diese Schwachstelle über der großen Mehrheit der CVEs. Win32k-Privilegieneskalationsschwachstellen werden häufig von fortgeschrittenen Bedrohungsakteuren als Teil mehrstufiger Angriffsketten angegriffen, bei denen sie mit Erstzugriffs-Exploits kombiniert werden, um eine vollständige Systemkompromittierung zu erreichen. Bundesbehörden mussten die Behebung bis zum 03.05.2022 gemäß der CISA-Richtlinie abschließen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat im März 2019 Sicherheitsupdates zur Behebung dieser Schwachstelle veröffentlicht.
- Alle betroffenen Windows-Systeme aktualisieren, einschließlich: Windows 10 (Versionen 1507, 1607, 1703, 1709, 1803, 1809), Windows 8.1, Windows RT 8.1, Windows Server 1709, Windows Server 1803, Windows Server 2012 (einschließlich R2), Windows Server 2016 und Windows Server 2019.
- Das Prinzip der geringsten Rechte in der gesamten Umgebung implementieren, um die Auswirkungen einer Privilegieneskalation zu begrenzen. Sicherstellen, dass Benutzer für tägliche Aufgaben mit Standardbenutzerkonten statt mit administrativen Konten arbeiten.
- Endpoint Detection and Response (EDR)-Lösungen einsetzen, die in der Lage sind, Ausnutzungsversuche auf Kernelebene, Win32k-Missbrauchsmuster und ungewöhnliche Privilegieneskalationsaktivitäten zu erkennen. Auf verdächtige Systemaufrufmuster und Token-Manipulation überwachen.
- Credential Guard und andere virtualisierungsbasierte Sicherheitsfunktionen aktivieren, wo unterstützt, um zusätzliche Schutzebenen gegen Kernel-Ausnutzung und Anmeldedatendiebstahl hinzuzufügen.
Technische Details
CVE-2019-0797 ist eine Privilegieneskalationsschwachstelle im Windows Win32k-Kernelmodustreiber, die durch die unsachgemäße Handhabung von Objekten im Speicher verursacht wird. Der Win32k-Treiber ist eine kritische Windows-Kernelkomponente, die für das grafische Subsystem, die Fensterverwaltung und die Benutzerinteraktion verantwortlich ist. Wenn der Treiber Speicherobjekte bei bestimmten Operationen nicht ordnungsgemäß verwaltet, kann ein Angreifer, der bereits niedrige Zugriffsrechte auf das System erlangt hat, eine speziell entwickelte Anwendung erstellen, die diese Speicherobjekte manipuliert, um beliebigen Code im Kernelmodus auszuführen. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass die Ausnutzung lokalen Zugriff mit niedrigen Privilegien erfordert, aber die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Dieses CVE unterscheidet sich von der verwandten Schwachstelle CVE-2019-0808, die jedoch dieselbe Kernelkomponente betrifft.
Häufig gestellte Fragen
Wird CVE-2019-0797 aktiv ausgenutzt?
Ja. CVE-2019-0797 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgeführt, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 6,09 % (90,64. Perzentil) zeigt eine bemerkenswerte Ausnutzungswahrscheinlichkeit an, und Win32k-Schwachstellen werden häufig in fortgeschrittenen Angriffskampagnen angegriffen.
Welche Produkte sind von CVE-2019-0797 betroffen?
CVE-2019-0797 betrifft mehrere Windows-Betriebssysteme, darunter Windows 10 (Versionen 1507, 1607, 1703, 1709, 1803, 1809), Windows 8.1, Windows RT 8.1, Windows Server 1709, Server 1803, Server 2012 (einschließlich R2), Server 2016 und Server 2019.
Wie behebe ich CVE-2019-0797?
Wenden Sie die von Microsoft im März 2019 veröffentlichten Sicherheitsupdates für alle betroffenen Windows-Systeme an. Implementieren Sie zusätzlich das Prinzip der geringsten Rechte und setzen Sie Endpoint-Detection-Lösungen ein, die Kernel-Ausnutzungsversuche erkennen können.
Wie schwerwiegend ist CVE-2019-0797?
CVE-2019-0797 hat einen CVSS-3.1-Score von 7,8 (HOCH) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Als Privilegieneskalationsschwachstelle auf Kernelebene mit bestätigter aktiver Ausnutzung stellt sie eine erhebliche Bedrohung dar und sollte umgehend behoben werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.