CVE-2019-0808
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2019-0808 ist eine hochgradige Schwachstelle zur Rechteausweitung in der Microsoft Win32k-Komponente. Die Schwachstelle besteht, weil der Windows-Kernelmodustreiber Objekte im Speicher nicht ordnungsgemäß verarbeitet, wodurch ein lokal authentifizierter Angreifer beliebigen Code im Kernelmodus ausführen kann. CISA hat diese Schwachstelle in den Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Mit einem EPSS-Score von 74,24 % (98,8. Perzentil) weist CVE-2019-0808 eine sehr hohe Ausnutzungswahrscheinlichkeit auf, insbesondere da öffentlicher Exploit-Code verfügbar ist und die Schwachstelle ältere Windows-Systeme wie Windows 7 und Windows Server 2008 betrifft.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 7 | - |
| microsoft | windows server 2008 | -; r2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157616/Microsoft-Windows-NtUserMNDragOver-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0808(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-0808(US Government Resource)
Schwachstellentyp
Unsachgemäße Speicherbehandlung in Win32k
CVE-2019-0808 bezieht sich auf eine unsachgemäße Speicherbehandlung im Win32k-Kernelmodustreiber. Wenn der Treiber Objekte im Speicher nicht ordnungsgemäß verarbeitet, kann dies zu Speicherbeschädigungen führen, die es einem Angreifer ermöglichen, seine Berechtigungen vom Benutzermodus in den Kernelmodus zu eskalieren, was eine vollständige Systemkompromittierung auf betroffenen Windows-Systemen ermöglicht.
Mehr erfahren: Win32k Elevation of Privilege — Microsoft Security Advisory
Auswirkungsanalyse
CVE-2019-0808 weist einen CVSS-3.1-Score von 7,8 (HOCH) auf, was eine erhebliche Bedrohung durch Rechteausweitung auf betroffenen Windows-Systemen darstellt. Die Schwachstelle erfordert lokalen Zugriff und niedrige Berechtigungen zur Ausnutzung, benötigt jedoch keine Benutzerinteraktion, wodurch sie sich ideal für die Verkettung mit Browser- oder dokumentbasierten Schwachstellen für den Erstzugriff eignet. Vertraulichkeit (Hoch): Ein Angreifer, der in den Kernelmodus eskaliert, erhält vollen Lesezugriff auf alle Systemdaten, einschließlich Anmeldedaten und sensibler Dateien. Integrität (Hoch): Die Ausführung im Kernelmodus ermöglicht die willkürliche Änderung von Systemdateien, Sicherheitskonfigurationen und laufenden Prozessen. Verfügbarkeit (Hoch): Eine vollständige Systemkompromittierung kann zu Dienstausfällen oder der Installation persistenter Malware führen. Der EPSS-Score von 74,24 % im 98,8. Perzentil weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit unter bekannten Schwachstellen hin.
Exploit-Reifegrad
CVE-2019-0808 verfügt über eine ausgereifte und gut dokumentierte Exploit-Landschaft. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, der die lokale Rechteausweitung über NtUserMNDragOver im Win32k-Treiber demonstriert. CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt, indem diese Schwachstelle in den KEV-Katalog aufgenommen wurde, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 74,24 % (98,8. Perzentil) deutet auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Diese Schwachstelle wurde insbesondere in Verbindung mit einem Google-Chrome-Zero-Day (CVE-2019-5786) bei gezielten Angriffen eingesetzt, wobei der Browser-Exploit den initialen Codeausführungsvektor lieferte und CVE-2019-0808 für die Rechteausweitung auf Kernel-Ebene verkettet wurde.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe: Updates gemäß Herstelleranweisungen durchführen. Microsoft hat Sicherheitsupdates für alle betroffenen Windows-Versionen veröffentlicht.
- Sicherstellen, dass alle Instanzen der betroffenen Produkte (Windows 7 und Windows Server 2008, einschließlich R2-Varianten) auf die neuesten gepatchten Versionen aktualisiert wurden. Da es sich um End-of-Life-Produkte handelt, sollte eine Migration auf unterstützte Windows-Versionen in Betracht gezogen werden.
- Falls ein sofortiges Patching nicht möglich ist, strenge lokale Zugriffskontrollen implementieren, um die Angriffsfläche zu reduzieren. Lokale Anmelderechte auf wesentliche Konten beschränken und das Prinzip der geringsten Berechtigung auf allen Systemen durchsetzen.
- Auf Anzeichen von Rechteausweitungsversuchen überwachen, einschließlich ungewöhnlicher Kernelmodusaktivität, verdächtiger NtUserMNDragOver-Aufrufe und unerwarteter Prozesserstellung auf SYSTEM-Ebene aus niedrig privilegierten Benutzerkonten.
- Endpoint-Detection-and-Response-Lösungen (EDR) einsetzen, die Kernel-Exploit-Techniken erkennen können, und sicherstellen, dass Windows Defender Credential Guard oder vergleichbare Kernel-Integritätsschutzmechanismen aktiviert sind.
Technische Details
CVE-2019-0808 zielt auf die Win32k-Komponente des Windows-Kernelmodustreibers ab, insbesondere auf die Funktion NtUserMNDragOver, die Objekte im Speicher unsachgemäß verarbeitet. Die Schwachstelle ermöglicht es einem lokal authentifizierten Angreifer, eine Speicherbeschädigung im Kernel auszulösen, die zur Ausführung beliebigen Codes auf der höchsten Berechtigungsebene (Ring 0) führt. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass der Angriff lokalen Zugriff mit niedrigen Berechtigungen erfordert, aber keine Benutzerinteraktion, bei hohem Einfluss auf alle drei Sicherheitsziele. Diese Schwachstelle unterscheidet sich von CVE-2019-0797, einem weiteren Win32k-Rechteausweitungsfehler, der im gleichen Zeitraum gepatcht wurde, und wurde gezielt in Verbindung mit Browser-Zero-Days für vollständige Angriffsketten gegen Windows-7-Systeme eingesetzt.
Häufig gestellte Fragen
Wird CVE-2019-0808 aktiv ausgenutzt?
Ja. CVE-2019-0808 ist im CISA-Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) gelistet, was die aktive Ausnutzung bestätigt. Der EPSS-Score von 74,24 % (98,8. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Öffentlicher Exploit-Code ist verfügbar, und diese Schwachstelle wurde in realen Angriffen in Verkettung mit Browser-Zero-Days eingesetzt.
Welche Produkte sind betroffen?
CVE-2019-0808 betrifft Microsoft Windows 7 und Windows Server 2008 (einschließlich R2-Varianten). Es handelt sich um ältere Betriebssysteme, die das End of Life erreicht haben, weshalb die Migration auf unterstützte Windows-Versionen die empfohlene langfristige Strategie ist.
Wie behebe ich CVE-2019-0808?
Die von Microsoft bereitgestellten Sicherheitsupdates anwenden. Da die betroffenen Produkte (Windows 7 und Windows Server 2008) End of Life sind, sollten Organisationen vorrangig auf unterstützte Windows-Versionen migrieren. Zwischenzeitlich lokale Zugriffsberechtigungen einschränken und EDR-Lösungen zur Erkennung von Ausnutzungsversuchen einsetzen.
Wie schwerwiegend ist CVE-2019-0808?
CVE-2019-0808 hat einen CVSS-3.1-Score von 7,8 (HOCH). Obwohl lokaler Zugriff erforderlich ist, machen die geringe Angriffskomplexität und die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit die Schwachstelle zu einer erheblichen Bedrohung, insbesondere wenn sie mit Remotecodeausführungs-Schwachstellen für eine vollständige Systemkompromittierung verkettet wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.