CVE-2019-1130
Microsoft Windows AppX Deployment Service Privilege Escalation Vulnerability
Beschreibung
CVE-2019-1130 ist eine Schwachstelle zur Rechteausweitung im Windows AppX Deployment Service (AppXSVC), die durch fehlerhafte Behandlung von Hard Links verursacht wird. Die Schwachstelle ermöglicht es einem lokalen Angreifer, seine Privilegien zu eskalieren, indem er die Art und Weise ausnutzt, wie AppXSVC Hard Links während der Anwendungsbereitstellung verarbeitet. CISA hat die aktive Ausnutzung bestätigt und CVE-2019-1130 in den Known Exploited Vulnerabilities Katalog mit einer bekannten Ransomware-Verbindung aufgenommen. Mit einem EPSS-Perzentil von 83,2 % stellt diese Schwachstelle eine erhebliche Bedrohung dar, insbesondere für Organisationen, die von Ransomware-Betreibern angegriffen werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1130(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1130(US Government Resource)
Schwachstellentyp
CWE-269: Fehlerhafte Privilegienverwaltung
CWE-269 beschreibt Schwachstellen, bei denen ein Produkt Privilegien nicht korrekt zuweist, ändert, verfolgt oder überprüft. Bei CVE-2019-1130 behandelt der Windows AppX Deployment Service Hard Links während privilegierter Dateioperationen fehlerhaft, was einem lokalen Angreifer ermöglicht, diese Operationen umzuleiten und auf systemgeschützte Dateien zuzugreifen oder diese zu ändern, wodurch die Privilegienstufe effektiv eskaliert wird.
Weitere Informationen: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2019-1130 ist eine lokale Schwachstelle zur Rechteausweitung im Windows AppX Deployment Service (AppXSVC), die es einem Angreifer mit Standard-Benutzerzugang ermöglicht, durch Hard-Link-Manipulation erhöhte Privilegien zu erlangen. Bei Ausnutzung kann der Angreifer privilegierte Dateioperationen, die von AppXSVC ausgeführt werden, auf beliebige Dateisystemspeicherorte umleiten und so Lese- oder Schreibzugriff auf systemgeschützte Dateien und Verzeichnisse erlangen. Die bestätigte Ransomware-Verbindung im CISA KEV-Katalog verstärkt die Bedrohung erheblich — Ransomware-Betreiber nutzen diese Privilegieneskalation, um den erhöhten Zugang zu erlangen, der zum Deaktivieren von Antivirus-Software, Verschlüsseln von Systemvolumes und Bereitstellen von Ransomware-Nutzlasten benötigt wird. Das EPSS-Perzentil von 83,2 % weist auf eine hohe Ausnutzungswahrscheinlichkeit hin, und die Kombination aus bestätigter aktiver Ausnutzung mit Ransomware-Nutzung macht dies zu einer kritischen Behebungspriorität.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2019-1130 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 13. Juni 2022 aufgenommen. Der KEV-Katalog kennzeichnet diese Schwachstelle mit einer bekannten Ransomware-Verbindung und bestätigt damit, dass Ransomware-Betreiber diese Privilegieneskalation aktiv in ihren Angriffsketten einsetzen. Das EPSS-Perzentil von 83,2 % spiegelt erhebliche reale Ausnutzungsaktivität wider. Hard-Link-basierte Privilegieneskalations-Schwachstellen in Windows-Diensten sind gut erforschte Angriffstechniken, und die öffentliche Verfügbarkeit von Forschung zu AppXSVC-Dateioperations-Missbrauch senkt die Hürde für die Ausnutzung. Ransomware-Gruppen kombinieren diese Art von Schwachstelle typischerweise mit initialen Zugangs-Exploits, um von einem Standard-Benutzerkontext auf SYSTEM-Level-Zugang zu wechseln.
Behebung
- Spielen Sie die von Microsoft bereitgestellten Sicherheitsupdates für den Windows AppX Deployment Service ein. CISA verlangt eine Behebung bis zum 13. Juni 2022.
- Angesichts der Ransomware-Verbindung sollten Sie das Patching auf Dateiservern, Domänencontrollern, Backup-Systemen und anderer kritischer Infrastruktur priorisieren.
- Überwachen Sie AppXSVC auf verdächtige Hard-Link-Erstellung und Dateioperations-Umleitungsversuche, insbesondere Hard Links, die von AppX-Bereitstellungsverzeichnissen auf systemkritische Speicherorte zeigen.
- Setzen Sie Endpoint-Detection-and-Response-Lösungen (EDR) mit Erkennungsregeln für privilegierten Dateioperations-Missbrauch und Hard-Link/Junction-basierte Privilegieneskalationstechniken ein.
- Implementieren Sie robuste Backup- und Wiederherstellungsverfahren mit Offline-, Air-Gapped-Backups, um die Resilienz gegen Ransomware-Angriffe sicherzustellen.
Technische Details
CVE-2019-1130 nutzt einen Fehler im Windows AppX Deployment Service (AppXSVC) in Bezug auf seine Behandlung von Hard Links während der Bereitstellung von Anwendungspaketen aus. AppXSVC läuft als SYSTEM-Level-Dienst und führt verschiedene Dateisystemoperationen mit erhöhten Privilegien durch. Die Schwachstelle entsteht, weil AppXSVC Hard Links, die während dieser Dateioperationen auftreten, nicht ordnungsgemäß validiert oder einschränkt. Ein lokaler Angreifer kann Hard Links in Verzeichnissen erstellen, die vom AppX-Bereitstellungsprozess verwendet werden, die auf systemgeschützte Dateien an anderer Stelle auf der Festplatte verweisen. Wenn AppXSVC anschließend privilegierte Operationen auf vermeintlich legitimen Bereitstellungsdateien ausführt, leiten die Hard Links diese Operationen auf die vom Angreifer angegebenen Zieldateien um. Diese Technik nutzt AppXSVC effektiv als Confused Deputy — die eigenen erhöhten Privilegien des Dienstes werden genutzt, um Dateioperationen auszuführen, die das Standard-Benutzerkonto des Angreifers normalerweise nicht autorisiert wäre auszuführen.
Häufig gestellte Fragen
Wird CVE-2019-1130 aktiv ausgenutzt?
Ja, CVE-2019-1130 wird aktiv ausgenutzt, mit bestätigter Ransomware-Verbindung. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 83,2 % bestätigt erhebliche Ausnutzungsaktivität. Ransomware-Betreiber setzen diese Schwachstelle aktiv in ihren Angriffsketten ein.
Welche Produkte sind von CVE-2019-1130 betroffen?
CVE-2019-1130 betrifft den Windows AppX Deployment Service (AppXSVC) in Microsoft Windows. Mehrere Windows-Versionen sind betroffen. Administratoren sollten die Microsoft-Sicherheitsempfehlung für die vollständige Liste der betroffenen Betriebssystemversionen konsultieren.
Wie behebe ich CVE-2019-1130?
Installieren Sie die Microsoft-Sicherheitsupdates für die betroffenen Windows-Versionen. Priorisieren Sie das Patching auf kritischer Infrastruktur und Backup-Systemen. Setzen Sie EDR-Lösungen ein und implementieren Sie Offline-Backup-Verfahren.
Wie schwerwiegend ist CVE-2019-1130?
CVE-2019-1130 ist eine schwerwiegende Schwachstelle zur Privilegieneskalation mit einem EPSS-Perzentil von 83,2 % und bestätigter Ransomware-Verbindung. Die Kombination aus aktiver Ausnutzung und Ransomware-Nutzung macht dies zu einem hochprioritären Behebungsziel.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.