CVE-2019-0841
Microsoft Windows AppX Deployment Service (AppXSVC) Privilege Escalation Vulnerability
Beschreibung
CVE-2019-0841 ist eine schwerwiegende Link-Following-Schwachstelle in Microsoft Windows. Eine Privilege-Escalation-Schwachstelle besteht, wenn Windows AppXSVC Hardlinks nicht ordnungsgemäß verarbeitet, wodurch ein Angreifer Prozesse in einem erhöhten Kontext ausführen kann. Diese Schwachstelle wurde mit Ransomware-Kampagnen in Verbindung gebracht, was ihr Risikoprofil erheblich erhöht. CISA hat CVE-2019-0841 in den Known Exploited Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 82,65 % (99,2. Perzentile) besteht eine sehr hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1703 | Alle Versionen |
| microsoft | windows 10 1709 | Alle Versionen |
| microsoft | windows 10 1803 | Alle Versionen |
| microsoft | windows 10 1809 | Alle Versionen |
| microsoft | windows server 2016 | 1803 |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/152463/Microsoft-Windows-AppX-Deployment-Service-Privilege-Escalation.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/153009/Internet-Explorer-JavaScript-Privilege-Escalation.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/153114/Microsoft-Windows-AppX-Deployment-Service-Local-Privilege-Escalation.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/153215/Microsoft-Windows-AppX-Deployment-Service-Local-Privilege-Escalation.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/153642/AppXSvc-Hard-Link-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0841(Patch, Vendor Advisory)
- https://www.exploit-db.com/exploits/46683/(Exploit, Third Party Advisory, VDB Entry)
- https://www.zerodayinitiative.com/advisories/ZDI-19-360/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-0841(US Government Resource)
Schwachstellentyp
CWE-59: Unsachgemäße Link-Auflösung vor Dateizugriff ('Link Following')
Unsachgemäße Link-Auflösung vor Dateizugriff, allgemein bekannt als "Link Following" oder "Symlink-Angriff", tritt auf, wenn Software über einen Pfad auf eine Datei zugreift, der von einem Angreifer modifiziert werden kann, der symbolische Links (Symlinks), Hardlinks oder Junctions erstellt oder manipuliert. Die Schwachstelle entsteht, wenn ein Programm einem symbolischen Link folgt, um auf eine Datei zuzugreifen, ohne zu überprüfen, ob der Link auf einen beabsichtigten und autorisierten Speicherort zeigt. Bei CVE-2019-0841 manifestiert sich diese Schwäche in Microsoft Windows: Eine Privilege-Escalation-Schwachstelle besteht, wenn Windows AppXSVC Hardlinks nicht ordnungsgemäß verarbeitet, wodurch ein Angreifer Prozesse in einem erhöhten Kontext ausführen kann.
Weitere Informationen: CWE-59 — Unsachgemäße Link-Auflösung vor Dateizugriff ('Link Following')
Auswirkungsanalyse
CVE-2019-0841 stellt eine erhebliche Bedrohung für Organisationen dar, die Microsoft Windows verwenden, mit einem CVSS-Score von 7.8. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit betroffener Systeme vollständig kompromittieren. Angreifer können auf sensible Daten zugreifen, Systemkonfigurationen oder Daten verändern und die Dienstverfügbarkeit stören. Die dokumentierte Verbindung zu Ransomware-Kampagnen macht diese Schwachstelle besonders gefährlich, da Bedrohungsakteure sie aktiv für den initialen Zugang oder zur Rechteeskalation in Ransomware-Operationen nutzen.
Exploit-Reifegrad
CVE-2019-0841 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was die Ausnutzung in realen Angriffen bestätigt. Der EPSS-Score von 82,65 % (99,2. Perzentile) zählt sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen, was eine weit verbreitete und aktive Ausnutzungsaktivität widerspiegelt. Öffentlicher Exploit-Code ist verfügbar, was die Einstiegshürde für Angreifer senkt und die Dringlichkeit der Behebung erhöht. Diese Schwachstelle wurde mit Ransomware-Kampagnen in Verbindung gebracht, was darauf hinweist, dass gut ausgestattete Bedrohungsakteure sie aktiv in ihre Angriffsketten integrieren.
Behebung
- Pflichtmaßnahme laut CISA KEV: Wenden Sie umgehend Herstellerpatches an. Aktualisieren Sie Microsoft Windows auf die neueste verfügbare Version, die diese Schwachstelle behebt.
- Bis der Patch angewendet wird, erzwingen Sie das Prinzip der minimalen Rechte, indem Sie den lokalen Benutzerzugriff auf diejenigen beschränken, die ihn benötigen, und die Ausführung nicht vertrauenswürdiger Anwendungen auf betroffenen Systemen einschränken.
- Angesichts der Ransomware-Verbindung stellen Sie sicher, dass Endpoint Detection and Response (EDR)-Lösungen auf allen betroffenen Systemen aktiv sind, und überwachen Sie auf Kompromittierungsindikatoren einschließlich ungewöhnlicher Prozessausführung, Dateiverschlüsselungsaktivität und lateraler Bewegung.
- Überprüfen Sie die Patch-Bereitstellung über alle Instanzen von Microsoft Windows in Ihrer Umgebung mittels Schwachstellenscans, um sicherzustellen, dass keine Systeme weiterhin exponiert sind.
- Überprüfen und aktualisieren Sie den Schwachstellenmanagement-Prozess Ihrer Organisation, um sicherzustellen, dass CISA-KEV-Einträge mit einer Behebungsfrist bis zum 05.04.2022 innerhalb des vorgegebenen Zeitrahmens bearbeitet werden.
Technische Details
CVE-2019-0841 ist unter CWE-59 (Unsachgemäße Link-Auflösung vor Dateizugriff ('Link Following')) klassifiziert und betrifft Microsoft Windows. Eine Privilege-Escalation-Schwachstelle besteht, wenn Windows AppXSVC Hardlinks nicht ordnungsgemäß verarbeitet, wodurch ein Angreifer Prozesse in einem erhöhten Kontext ausführen kann. Die Schwachstelle ist mit lokalem Zugang zum Zielsystem ausnutzbar, mit geringer Angriffskomplexität, mit niedrigen Privilegien. Der CVSS-3.1-Basiswert von 7.8 (HIGH) spiegelt hohe Auswirkungen auf die Vertraulichkeit, hohe Auswirkungen auf die Integrität und hohe Auswirkungen auf die Verfügbarkeit wider.
Häufig gestellte Fragen
Wird CVE-2019-0841 aktiv ausgenutzt?
Ja. CVE-2019-0841 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 82,65 % (99,2. Perzentile) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Öffentlicher Exploit-Code ist verfügbar, was das Risiko weiter erhöht. Diese Schwachstelle wurde zudem mit Ransomware-Kampagnen in Verbindung gebracht.
Welche Produkte sind von CVE-2019-0841 betroffen?
CVE-2019-0841 betrifft hauptsächlich Microsoft Windows sowie Microsoft Windows 10 1703, Microsoft Windows 10 1709, Microsoft Windows 10 1803. Organisationen sollten prüfen, ob Instanzen der betroffenen Software in ihrer Umgebung betrieben werden.
Wie behebe ich CVE-2019-0841?
Wenden Sie die Herstellerupdates gemäß den Anweisungen an. Bis das Update angewendet wird, beschränken Sie lokale Zugriffsrechte und überwachen Sie verdächtige Aktivitäten auf betroffenen Systemen.
Wie schwerwiegend ist CVE-2019-0841?
CVE-2019-0841 hat einen CVSS-3.1-Score von 7.8 und ist als HIGH eingestuft. Diese hohe Einstufung weist auf erhebliche potenzielle Auswirkungen auf betroffene Systeme hin. Die Verbindung zu Ransomware-Kampagnen erhöht das operative Risiko dieser Schwachstelle zusätzlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.