CVE-2019-0859
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2019-0859 ist eine schwerwiegende Rechteausweitungs-Schwachstelle in Windows, die entsteht, wenn die Win32k-Komponente Objekte im Speicher nicht ordnungsgemäß behandelt; Microsoft veröffentlichte sie als „Win32k Elevation of Privilege Vulnerability". Ein lokaler Angreifer mit gering privilegiertem Konto kann darüber die Kontrolle über den Rechner auf SYSTEM-Ebene erlangen. Betroffen sind Windows 7, 8.1 und RT 8.1, Windows 10 in den Versionen 1507 bis 1809 sowie Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016, 2019 und die Server-Releases 1709 und 1803. Microsoft hält fest, dass sich diese CVE-ID von CVE-2019-0685 und CVE-2019-0803 unterscheidet, zwei weiteren im selben Zeitraum behobenen Win32k-Problemen. CVE-2019-0859 hat einen CVSS-Wert von 7.8, einen EPSS-Wert von rund 4 % im 90. Perzentil, und die CISA hat den Einsatz in Ransomware-Kampagnen bestätigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1709 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0859(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-0859(US Government Resource)
Schwachstellentyp
CVE-2019-0859 ist in den Schwachstellendaten keine CWE-Klassifikation zugewiesen; Microsofts Advisory beschreibt die Bedingung, statt eine formale Schwächenklasse zu vergeben. Die Beschreibung ist gleichwohl präzise: Die Win32k-Komponente behandelt Objekte im Speicher nicht ordnungsgemäß. Diese Formulierung bezeichnet die Familie der Fehler in Lebensdauer und Zustand von Speicherobjekten — Use-after-free, Type Confusion und verwandte Zustände — bei denen der Kernel auf einem Objekt operiert, dessen Zustand seinen Annahmen nicht mehr entspricht. Da Win32k im Kernel-Modus läuft und seine Objektverarbeitungsroutinen aus jedem Benutzerprozess erreichbar sind, übersetzt sich ein solcher Fehler unmittelbar in einen angreiferkontrollierbaren Kernel-Speicherzustand und von dort in privilegierte Ausführung.
Auswirkungsanalyse
CVE-2019-0859 erfordert lokalen Zugriff und niedrige Privilegien, bei geringer Angriffskomplexität und ohne Benutzerinteraktion — wer bereits als gewöhnlicher Benutzer Code ausführt, über eine Phishing-Payload, ein kompromittiertes Dienstkonto oder einen Browser-Exploit, braucht nichts weiter. Das Ergebnis ist eine hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit: Die Erhöhung auf SYSTEM legt alle Daten des Hosts offen, erlaubt das Abschalten des Endpunktschutzes und das Abgreifen von Zugangsdaten, ermöglicht Persistenz und eröffnet auf einem domänengebundenen Rechner den Weg zur lateralen Bewegung. Die CISA bestätigt den Einsatz in Ransomware-Kampagnen — die operativ entscheidende Tatsache: Diese Schwachstelle wurde zuerst als von einem gezielten Angreifer genutzter Zero-Day beobachtet und ist seither zum Standard-Eskalationsschritt geworden, der Brücke zwischen erster Codeausführung und den SYSTEM-Rechten, die zum Löschen von Schattenkopien, Stoppen von Backup-Diensten und breiten Verschlüsseln nötig sind. Der CVSS-3.1-Basiswert von 7.8 benennt den technischen Schweregrad; der EPSS-Wert von etwa 4 % im 90. Perzentil ist für eine lokale Rechteausweitung hoch, da EPSS internetseitiges Scanning modelliert, das hier nicht greift.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2019-0859 bestätigt und kennzeichnet sie als bekanntermaßen in Ransomware-Kampagnen eingesetzt, die schwerwiegendste Einstufung des KEV-Katalogs. Der EPSS-Wert von rund 4 % im 90. Perzentil ist für eine Schwachstelle mit lokalem Zugriff hoch, denn EPSS wird von internetseitigen Ausnutzungssignalen getrieben, die für einen Fehler mit vorausgesetzter Codeausführung ohne Bedeutung sind — ein Wert in diesem Perzentil zeigt, dass das Exploit weiterhin praktisch im Einsatz und nicht bloß archiviert ist. Unter den verfügbaren Referenzen findet sich kein öffentliches Exploit, und der MSRC-Eintrag von Microsoft ist die einzige Herstellerquelle; Win32k-Eskalationen dieser Zeit sind in der öffentlichen Kernel-Exploitation-Forschung jedoch erschöpfend dokumentiert, und diese hier wurde ursprünglich über Angriffsaktivität in freier Wildbahn identifiziert. Mit einer 2022 abgelaufenen Behebungsfrist, bestätigtem Ransomware-Einsatz und einer großen betroffenen Population nie mehr patchbarer End-of-Life-Windows-Versionen ist ein ungepatchter betroffener Host für jeden Angreifer, der Code auf Benutzerebene darauf platziert, als vollständig eskalierbar zu behandeln.
Behebung
- Die von der CISA geforderte Maßnahme umsetzen. Mitigationen gemäß den Anweisungen von Microsoft anwenden, die BOD-26-04-Vorgaben der CISA („Prioritizing Security Updates Based on Risk") sowie die „Forensics Triage Requirements" einhalten und das Produkt außer Betrieb nehmen, falls keine Mitigationen verfügbar sind. Die KEV-Frist zum 3. Mai 2022 ist längst verstrichen, und der Eintrag ist für bekannten Ransomware-Einsatz gekennzeichnet.
- Das Microsoft-Sicherheitsupdate aus dem MSRC-Advisory zu CVE-2019-0859 installieren. Das Update vom April 2019 behebt das Problem auf allen betroffenen Plattformen; prüfen Sie beim Patchen zugleich, ob die verwandten Win32k-Fixes für CVE-2019-0685 und CVE-2019-0803 eingespielt sind, da Microsoft die drei gemeinsam behob und ein System, dem einer fehlt, wahrscheinlich auch die anderen vermissen lässt.
- Die End-of-Life-Systeme ersetzen oder isolieren. Windows 7, 8.1, RT 8.1, Server 2008 und 2008 R2, die Server-Releases 1709 und 1803 sowie die frühen Windows-10-Zweige erhalten keine Sicherheitswartung mehr — für sie ist die Abhilfe die Migration auf ein unterstütztes Release oder, wo das wirklich unmöglich ist, die Isolierung vom Netz und von Wechselmedien.
- Die Rechner finden, die das Update nie erhalten haben. Ein offener Patch von 2019 deutet auf eine Lücke im Systemmanagement und nicht auf eine Verschiebung: Suchen Sie nach Geräten außerhalb des Patch-Managements, offline oder selten gestarteten Systemen, Labor- und OT-Hosts, in Appliances eingebettetem Windows und ruhenden virtuellen Maschinen und priorisieren Sie Mehrbenutzersysteme wie Terminalserver, VDI-Hosts und Jump-Server, auf denen unvertrauenswürdige Benutzer Code ausführen.
- Ausnutzung erkennen und sich auf das Ransomware-Szenario vorbereiten. Per EDR-Telemetrie auf Prozesse alarmieren, die aus Standardbenutzer-Elternprozessen SYSTEM-Integrität erlangen, sowie auf wiederholte
win32k.sys-Abstürze, die einem erfolgreichen Kernel-Exploit typischerweise vorausgehen; auf das Löschen von Schattenkopien und die Manipulation von Sicherheitsdiensten als Vorzeichen der Verschlüsselung achten; und angesichts der bestätigten Ransomware-Verknüpfung prüfen, dass für jedes betroffene System offline verfügbare, getestete und wiederherstellbare Sicherungen existieren.
Technische Details
CVE-2019-0859 ist eine Rechteausweitung, die daraus entsteht, dass die Win32k-Komponente Objekte im Speicher nicht ordnungsgemäß behandelt. Win32k implementiert Fenstermanager und Graphics Device Interface von Windows innerhalb des Kernels, und seine Objektverarbeitungsroutinen werden über Systemaufrufe angesprochen, die jedem Benutzermodus-Prozess offenstehen — ein Lebensdauer- oder Zustandsfehler in diesen Routinen ist damit ohne jedes Privileg erreichbar und beschädigt Speicher im Kernel-Kontext. Ein Angreifer formt aus diesem beschädigten Kernel-Zustand beliebige Lese- und Schreibprimitive und daraus die Ausführung mit SYSTEM-Rechten. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H hält einen lokalen Angriff mit geringer Komplexität und niedrigen Privilegien ohne Benutzerinteraktion fest, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit bei unverändertem Scope. In den Schwachstellendaten ist keine CWE zugewiesen. Microsoft grenzt diese CVE ausdrücklich von CVE-2019-0685 und CVE-2019-0803 ab — eine Erinnerung daran, dass Win32k im selben Wartungsfenster mehrere eigenständige Eskalationsfehler hervorbrachte und das Patchen eines einzelnen die anderen nicht behebt.
Häufig gestellte Fragen
Wird CVE-2019-0859 aktiv ausgenutzt?
Ja, und die CISA hat den Einsatz in Ransomware-Kampagnen bestätigt — das KEV-Ransomware-Kennzeichen steht auf „Known". Der EPSS-Wert von etwa 4 % liegt im 90. Perzentil, was für eine lokale Rechteausweitung hoch ist, da EPSS internetseitiges Scanning modelliert, und zeigt, dass das Exploit weiterhin praktisch genutzt wird.
Welche Produkte sind von CVE-2019-0859 betroffen?
Betroffen sind Windows 7, 8.1 und RT 8.1, Windows 10 in den Versionen 1507, 1607, 1703, 1709, 1803 und 1809 sowie Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016, 2019 und die Server-Releases 1709 und 1803. Die verwundbare Komponente ist Win32k, auf allen standardmäßig vorhanden.
Wie behebe ich CVE-2019-0859?
Installieren Sie das im MSRC-Advisory zu CVE-2019-0859 genannte Microsoft-Sicherheitsupdate und prüfen Sie, dass auch die verwandten Win32k-Fixes für CVE-2019-0685 und CVE-2019-0803 eingespielt sind. Viele betroffene Plattformen sind inzwischen End-of-Life und erhalten keine Updates mehr — für Windows 7, 8.1, Server 2008 und 2008 R2 sowie die frühen Windows-10-Zweige ist die eigentliche Abhilfe die Migration auf ein unterstütztes Release oder die Netzisolierung.
Wie schwerwiegend ist CVE-2019-0859?
CVE-2019-0859 ist als hoch mit einem CVSS-3.1-Basiswert von 7.8 eingestuft. Sie erfordert lokalen Zugriff und niedrige Privilegien statt Erreichbarkeit aus der Ferne, benötigt aber keine Benutzerinteraktion und verschafft Kontrolle über den Host auf SYSTEM-Ebene mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit; mit bestätigtem Einsatz in Ransomware-Kampagnen und einem EPSS-Wert im 90. Perzentil bleibt sie überall dort, wo sie noch offen ist, ein vorrangiger Patch.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.