CVE-2019-0859
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2019-0859 ist eine schwerwiegende Schwachstelle zur Privilegieneskalation in der Microsoft Windows Win32k-Komponente. Der Win32k-Kernelmodustreiber verarbeitet Objekte im Speicher nicht ordnungsgemäß, wodurch ein lokal authentifizierter Angreifer beliebigen Code im Kernelmodus ausführen kann. Erfolgreiche Ausnutzung gewährt dem Angreifer volle Kontrolle über das betroffene System. CISA hat diese Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 9,88 % (92,9. Perzentil) besteht eine hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1709 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0859(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-0859(US Government Resource)
Schwachstellentyp
CWE-NVD-noinfo
Der spezifische Schwachstellentyp für diese Sicherheitslücke wurde von NVD nicht formal klassifiziert. Basierend auf der Beschreibung verarbeitet die Win32k-Komponente Objekte im Speicher fehlerhaft, was mit einer Speicherbeschädigungs- oder fehlerhaften Ressourcenverwaltungsklasse von Schwachstellen übereinstimmt, die eine Privilegieneskalation vom Benutzermodus zum Kernelmodus ermöglicht.
Auswirkungsanalyse
CVE-2019-0859 hat einen CVSS-3.1-Score von 7,8 (HOCH) und stellt eine erhebliche lokale Bedrohung durch Privilegieneskalation dar. Die Schwachstelle erfordert lokalen Zugriff mit geringen Berechtigungen, aber keine Benutzerinteraktion, was sie leicht ausnutzbar macht, sobald ein Angreifer initialen Zugang zum System hat. Vertraulichkeit (Hoch): Ein Angreifer, der Kernelmodus-Ausführung erreicht, kann auf den gesamten Systemspeicher zugreifen, einschließlich Anmeldeinformationen, Verschlüsselungsschlüsseln und sensiblen Prozessdaten. Integrität (Hoch): Kernelmodus-Codeausführung ermöglicht dem Angreifer, jede Systemkomponente zu ändern, Rootkits zu installieren, Sicherheitssoftware zu deaktivieren und Audit-Protokolle zu manipulieren. Verfügbarkeit (Hoch): Volle Kernelkontrolle ermöglicht dem Angreifer, das System zum Absturz zu bringen oder kritische Datenstrukturen zu beschädigen. Der EPSS-Score von 9,88 % platziert diese Schwachstelle im 92,9. Perzentil und bestätigt weit verbreitete Ausnutzungsaktivität. Diese CVE ist einzigartig gegenüber CVE-2019-0685 und CVE-2019-0803, die verwandte Win32k-Privilegieneskalations-Schwachstellen sind.
Exploit-Reifegrad
CVE-2019-0859 wird durch die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 9,88 % (92,9. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit an. Obwohl in den verfügbaren Referenzen kein öffentlicher Exploit-Code identifiziert wurde, bestätigen die KEV-Listung und der hohe EPSS-Score, dass zuverlässige Ausnutzungstechniken für Bedrohungsakteure verfügbar sind. Diese Schwachstelle gehört zu einer Reihe von Win32k-Privilegieneskalationsfehlern (CVE-2019-0685, CVE-2019-0803), die häufig mit Remote-Code-Execution-Schwachstellen verkettet werden, um eine vollständige Systemkompromittierung zu erreichen.
Behebung
- Sicherheitsupdates des Herstellers sofort anwenden, wie von der CISA-KEV-Direktive gefordert: Updates gemäß Herstelleranweisungen anwenden. Die Behebungsfrist war der 03.05.2022.
- Alle betroffenen Windows-Systeme auf die neuesten kumulativen Sicherheitspatches aktualisieren. Betroffene Produkte umfassen Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Versionen 1507, 1607, 1703, 1709, 1803, 1809) und Windows Server 2008 (einschließlich R2), 2012 (einschließlich R2), 2016, 2019, 1709 und 1803.
- Das Prinzip der geringsten Privilegien auf allen Endpunkten durchsetzen, um sicherzustellen, dass Standardbenutzerkonten keine unnötigen Administratorrechte haben.
- Endpoint-Detection-and-Response-Lösungen (EDR) einsetzen, die für die Erkennung von Win32k-Ausnutzungsmustern konfiguriert sind, einschließlich verdächtiger Kernelmodus-Übergänge und anomaler Systemaufrufsequenzen.
- Retroaktive Bedrohungsjagd auf Systemen durchführen, die möglicherweise vor dem Patching exponiert waren, und nach Indikatoren für Privilegieneskalation suchen, wie nicht autorisierte SYSTEM-Prozesse, neue geplante Aufgaben oder geänderte Sicherheitsrichtlinien.
Technische Details
CVE-2019-0859 ist eine Schwachstelle zur Privilegieneskalation im Windows Win32k-Kernelmodustreiber, die auftritt, wenn die Komponente Objekte im Speicher nicht ordnungsgemäß verarbeitet. Der Win32k-Treiber ist für die Fensterverwaltung und GDI-Operationen (Graphics Device Interface) im Windows-Kernel verantwortlich. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass die Ausnutzung lokalen Zugriff und geringe Privilegien erfordert, ohne Benutzerinteraktion. Durch Manipulation von Speicherobjekten, die von Win32k verarbeitet werden, kann ein Angreifer eine Bedingung auslösen, die beliebige Codeausführung im Kernelmodus ermöglicht und effektiv von einem Standardbenutzer auf SYSTEM-Privilegien eskaliert. Der Scope bleibt unverändert, die Auswirkung ist auf das verwundbare System beschränkt, aber eine vollständige Kompromittierung ist erreichbar. Diese Schwachstelle ist verwandt mit CVE-2019-0685 und CVE-2019-0803.
Häufig gestellte Fragen
Wird CVE-2019-0859 aktiv ausgenutzt?
Ja. CVE-2019-0859 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 9,88 % (92,9. Perzentil) bestätigt eine hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle wird häufig als Post-Compromise-Vektor zur Privilegieneskalation verwendet.
Welche Produkte sind von CVE-2019-0859 betroffen?
CVE-2019-0859 betrifft eine breite Palette von Microsoft Windows-Produkten: Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Versionen 1507, 1607, 1703, 1709, 1803, 1809) und Windows Server 2008 (einschließlich R2), 2012 (einschließlich R2), 2016, 2019, 1709 und 1803.
Wie behebe ich CVE-2019-0859?
Wenden Sie die von Microsoft bereitgestellten Sicherheitsupdates für alle betroffenen Windows-Versionen an. Setzen Sie Least-Privilege-Richtlinien auf allen Systemen durch und implementieren Sie Endpoint-Detection-Tools zur Überwachung von Win32k-Ausnutzungsversuchen.
Wie schwerwiegend ist CVE-2019-0859?
CVE-2019-0859 hat einen CVSS-3.1-Score von 7,8 (HOCH). Obwohl lokaler Zugriff erforderlich ist, machen die geringe Komplexität und die Fähigkeit zur Kernelmodus-Codeausführung die Schwachstelle zu einer erheblichen Bedrohung. Der hohe EPSS-Score bestätigt aktive Ausnutzung durch Bedrohungsakteure.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.