CVE-2019-0903
Microsoft GDI Remote Code Execution Vulnerability
Beschreibung
CVE-2019-0903 ist eine Remote-Code-Execution-Schwachstelle in der Microsoft Windows Graphics Device Interface (GDI), die über speziell gestaltete Enhanced Metafile (EMF)-Bilder ausgenutzt werden kann. Ein Angreifer kann die Schwachstelle auslösen, indem er einen Benutzer dazu bringt, ein bösartiges Dokument zu öffnen oder eine Website mit einer manipulierten EMF-Datei zu besuchen. Die Schwachstelle wurde am 25. März 2022 in den CISA-Katalog aufgenommen, mit einem EPSS-Score von 12,1 % (95,4. Perzentil).
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0903(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-0903(US Government Resource)
Schwachstellentyp
CWE-94: Unsachgemäße Kontrolle der Codegenerierung (Code-Injection)
CVE-2019-0903 wird mit CWE-94 assoziiert und beschreibt Schwachstellen, bei denen unsachgemäße Eingabeverarbeitung zur Codeausführung führt. Die Windows-GDI-Komponente behandelt Objekte im Speicher bei der Verarbeitung von EMF-Bilddateien nicht ordnungsgemäß, was einem Angreifer die Ausführung beliebigen Codes im Kontext des aktuellen Benutzers ermöglicht.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code
Auswirkungsanalyse
CVE-2019-0903 ermöglicht es Angreifern, beliebigen Code auf Windows-Systemen über bösartige EMF-Bilddateien auszuführen, die vom GDI-Subsystem verarbeitet werden. Der Code wird mit den Rechten des Benutzers ausgeführt, der den bösartigen Inhalt öffnet, was ein Administrator mit vollem Systemzugriff sein könnte. Die Schwachstelle kann über mehrere Angriffsvektoren ausgelöst werden, darunter E-Mail-Anhänge mit manipulierten Dokumenten, Websites mit bösartigem EMF-Inhalt und freigegebene Netzwerkdateien. Der EPSS-Score von 12,1 % spiegelt das aktive Ausnutzungsinteresse wider.
Exploit-Reifegrad
CVE-2019-0903 wurde von CISA als aktiv ausgenutzt bestätigt. Die Schwachstelle kann über gängige Angriffsvektoren wie Phishing-E-Mails mit bösartigen Dokumentanhängen oder Drive-by-Download-Angriffe über kompromittierte Websites verbreitet werden. EMF-dateibasierte Angriffe sind eine etablierte Technik in gezielten Angriffskampagnen. Mit einem EPSS-Score von 12,1 % (95,4. Perzentil) ist die Ausnutzungswahrscheinlichkeit signifikant.
Behebung
- Microsoft-Sicherheitsupdates anwenden: Installieren Sie das kumulative Sicherheitsupdate vom Mai 2019 von Microsoft, das CVE-2019-0903 behebt.
- EMF-Dateiverarbeitung einschränken: Konfigurieren Sie E-Mail-Gateways und Inhaltsfilter, um Dateien mit EMF-Inhalt zu blockieren oder in Quarantäne zu stellen.
- Least Privilege implementieren: Stellen Sie sicher, dass Benutzer mit minimalen erforderlichen Rechten arbeiten und keine Administratorkonten für tägliche Aufgaben verwenden.
- Endpoint-Schutz bereitstellen: Stellen Sie sicher, dass Endpoint-Sicherheitslösungen mit aktuellen Signaturen zur Erkennung von CVE-2019-0903-Exploitversuchen ausgestattet sind.
- Benutzer schulen: Schulen Sie Benutzer, verdächtige E-Mail-Anhänge zu erkennen und nicht zu öffnen.
Technische Details
CVE-2019-0903 ist eine Remote-Code-Execution-Schwachstelle in der Windows Graphics Device Interface (GDI), dem zentralen Windows-Subsystem für die Grafikverarbeitung. Die Schwachstelle tritt auf, wenn GDI Objekte im Speicher bei der Verarbeitung von Enhanced Metafile (EMF)-Bildern nicht ordnungsgemäß behandelt. EMF-Dateien enthalten eine Sequenz von GDI-Zeichenbefehlen, und eine speziell gestaltete EMF-Datei kann Befehle enthalten, die eine Speicherkorruption im GDI-Verarbeitungsmodul auslösen. Diese Speicherkorruption ermöglicht dem Angreifer die beliebige Codeausführung im Kontext des Benutzers, der die bösartige Datei geöffnet hat.
Häufig gestellte Fragen
Wird CVE-2019-0903 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung bestätigt. Die Schwachstelle kann über gängige Angriffsvektoren wie Phishing-E-Mails mit bösartigen Dokumenten oder kompromittierte Websites ausgelöst werden.
Welche Produkte sind von CVE-2019-0903 betroffen?
CVE-2019-0903 betrifft alle unterstützten Versionen von Microsoft Windows, die die Windows-GDI-Komponente enthalten, ein zentrales Betriebssystem-Subsystem in allen Windows-Versionen.
Wie behebe ich CVE-2019-0903?
Wenden Sie das kumulative Sicherheitsupdate vom Mai 2019 von Microsoft an. Stellen Sie sicher, dass alle Windows-Systeme in ein regelmäßiges Patch-Programm eingebunden sind.
Wie schwerwiegend ist CVE-2019-0903?
CVE-2019-0903 ist eine hochschwere Remote-Code-Execution-Schwachstelle. Sie kann über gängige Übertragungswege wie E-Mail-Anhänge ausgenutzt werden, und eine erfolgreiche Ausnutzung ermöglicht die Codeausführung mit den Rechten des Opferbenutzers.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.