CVE-2019-1214
Microsoft Windows Privilege Common Log File System (CLFS) Escalation Vulnerability
Beschreibung
CVE-2019-1214 ist eine hochgradige Schwachstelle zur Rechteausweitung im Microsoft Windows Common Log File System (CLFS)-Treiber. Die Schwachstelle besteht, weil der CLFS-Treiber Objekte im Speicher unsachgemäß verarbeitet, wodurch ein lokal authentifizierter Angreifer seine Berechtigungen ausweiten und die vollständige Kontrolle über das betroffene System erlangen kann. CISA hat diese Schwachstelle in den Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) aufgenommen und bestätigt damit die aktive Ausnutzung in freier Wildbahn. Mit einem EPSS-Score von 3,68 % (87,8. Perzentil) betrifft CVE-2019-1214 eine breite Palette von Windows-Betriebssystemen von Windows 7 bis Windows 10 sowie alle entsprechenden Server-Versionen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1214(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1214(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Die unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers ist eine Schwachstellenklasse, bei der Software Operationen auf einem Speicherpuffer durchführt, ohne ordnungsgemäß zu überprüfen, dass die Lese- oder Schreiboperationen innerhalb der zugewiesenen Grenzen bleiben. Im Kontext von CVE-2019-1214 verarbeitet der Windows-CLFS-Treiber Objekte im Speicher nicht ordnungsgemäß, was zu einer Puffergrenzenverletzung führt, die für eine Rechteausweitung von einem niedrig privilegierten Benutzerkonto auf SYSTEM-Zugriffsebene ausgenutzt werden kann.
Mehr erfahren: CWE-119 — Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Auswirkungsanalyse
CVE-2019-1214 weist einen CVSS-3.1-Score von 7,8 (HOCH) auf, was eine erhebliche Bedrohung durch Rechteausweitung über eine breite Palette von Windows-Betriebssystemen darstellt. Die Schwachstelle erfordert lokalen Zugriff mit niedrigen Berechtigungen, aber keine Benutzerinteraktion, was sie gut geeignet für Post-Exploitation-Szenarien macht, in denen ein Angreifer bereits über andere Mittel einen initialen Zugang erlangt hat. Vertraulichkeit (Hoch): Ein Angreifer, der auf SYSTEM-Ebene eskaliert, erhält uneingeschränkten Zugriff auf alle Daten des Systems, einschließlich Anmeldedaten, Sicherheitstoken und sensibler Dateien. Integrität (Hoch): SYSTEM-Zugriff ermöglicht die Änderung von Systemdateien, Sicherheitsrichtlinien, Auditprotokollen und laufenden Prozessen. Verfügbarkeit (Hoch): Eine vollständige Systemkompromittierung kann zur Bereitstellung persistenter Malware, Dienstausfällen oder vollständiger Systemzerstörung führen. Die Breite der betroffenen Produkte, die Windows 7, Windows 8.1, Windows 10 (mehrere Versionen) und alle entsprechenden Windows-Server-Editionen umfasst, verstärkt das organisatorische Risiko erheblich.
Exploit-Reifegrad
CVE-2019-1214 wird durch die Aufnahme in den CISA-Katalog der bekannten ausgenutzten Sicherheitslücken als aktiv ausgenutzt bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 3,68 % (87,8. Perzentil) deutet auf eine bemerkenswerte Ausnutzungswahrscheinlichkeit hin, wenn auch niedriger als bei einigen anderen aktiv ausgenutzten Schwachstellen. In den NVD-Referenzen wurde kein öffentlicher Exploit-Code für diese spezifische CVE identifiziert, aber der von CISA bestätigte Status der aktiven Ausnutzung zeigt, dass funktionierende Exploits in freier Wildbahn existieren und von Bedrohungsakteuren eingesetzt werden, die auf den Windows-CLFS-Treiber abzielen. Das CLFS-Subsystem war wiederholt Ziel von Ausnutzungsversuchen, wobei im Laufe der Jahre mehrere Rechteausweitungsschwachstellen in dieser Komponente entdeckt wurden.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe: Updates gemäß Herstelleranweisungen durchführen. Microsoft hat im September-2019-Patch-Tuesday Sicherheitsupdates für alle betroffenen Windows-Versionen veröffentlicht.
- Sicherstellen, dass alle betroffenen Windows-Systeme aktualisiert wurden: Windows 10 (Versionen 1507, 1607, 1703, 1709, 1803, 1809, 1903), Windows 7, Windows 8.1, Windows RT 8.1, Windows Server 2008 (einschließlich R2), Windows Server 2012 (einschließlich R2), Windows Server 2016, Windows Server 2019 sowie Windows Server-Versionen 1803 und 1903.
- Falls ein sofortiges Patching nicht möglich ist, strenge Zugriffskontrollen implementieren, um lokale Anmelderechte zu beschränken und das Prinzip der geringsten Berechtigung durchzusetzen. Den Zugriff auf den CLFS-Treiber einschränken, indem begrenzt wird, welche Prozesse mit dem Common Log File System interagieren können.
- Auf Anzeichen von Rechteausweitungsaktivitäten überwachen, einschließlich unerwarteter Prozesserstellung auf SYSTEM-Ebene aus niedrig privilegierten Konten, verdächtiger CLFS-Protokolldateioperationen und anomalem Kernelmodustreiber-Verhalten. Endpoint-Detection-and-Response-Lösungen (EDR) mit Kernel-Exploit-Erkennungsfähigkeiten einsetzen.
- Für Systeme mit End-of-Life-Windows-Versionen (Windows 7, Windows Server 2008) die Migration auf unterstützte Betriebssysteme priorisieren. Netzwerksegmentierung implementieren, um Legacy-Systeme zu isolieren und den Schadensradius einer potenziellen Kompromittierung zu reduzieren.
Technische Details
CVE-2019-1214 nutzt eine Schwäche in der unsachgemäßen Speicherpufferbehandlung (CWE-119) im Windows Common Log File System (CLFS)-Treiber aus. Der CLFS-Treiber, der für die Verwaltung der Transaktionsprotokollierung in Windows verantwortlich ist, validiert oder beschränkt Operationen an Speicherobjekten nicht ordnungsgemäß, wodurch eine Puffergrenzenverletzung entsteht, die für eine Rechteausweitung genutzt werden kann. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass der Angriff lokalen Zugriff mit niedrigen Berechtigungen erfordert, aber keine Benutzerinteraktion, bei hohem Einfluss auf alle Sicherheitsziele. Die Schwachstelle betrifft das zentrale Windows-CLFS-Subsystem, das in allen unterstützten Windows-Desktop- und Server-Editionen vorhanden ist, was die Angriffsfläche extrem breit macht. Diese Schwachstelle unterscheidet sich von anderen CLFS-Treiberfehlern und zielt speziell auf die Objektverarbeitungslogik innerhalb der Speicherverwaltungsroutinen des Treibers ab.
Häufig gestellte Fragen
Wird CVE-2019-1214 aktiv ausgenutzt?
Ja. CVE-2019-1214 ist im CISA-Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 3,68 % (87,8. Perzentil) weist auf eine bemerkenswerte Ausnutzungswahrscheinlichkeit hin. Der Windows-CLFS-Treiber war wiederholt Ziel von Rechteausweitungsangriffen.
Welche Produkte sind betroffen?
CVE-2019-1214 betrifft eine breite Palette von Windows-Betriebssystemen: Windows 10 (Versionen 1507, 1607, 1703, 1709, 1803, 1809, 1903), Windows 7, Windows 8.1, Windows RT 8.1, Windows Server 2008 (einschließlich R2), Windows Server 2012 (einschließlich R2), Windows Server 2016, Windows Server 2019 sowie Windows Server-Versionen 1803 und 1903.
Wie behebe ich CVE-2019-1214?
Die September-2019-Sicherheitsupdates von Microsoft für alle betroffenen Windows-Versionen anwenden. Für End-of-Life-Systeme wie Windows 7 und Windows Server 2008 die Migration auf unterstützte Betriebssysteme priorisieren. Zwischenzeitlich lokale Zugriffsberechtigungen einschränken und EDR-Lösungen zur Erkennung von Ausnutzungsversuchen einsetzen.
Wie schwerwiegend ist CVE-2019-1214?
CVE-2019-1214 hat einen CVSS-3.1-Score von 7,8 (HOCH). Obwohl lokaler Zugriff mit niedrigen Berechtigungen erforderlich ist, machen die fehlende Anforderung an Benutzerinteraktion und die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit die Schwachstelle zu einer erheblichen Bedrohung. Die breite Palette betroffener Windows-Versionen verstärkt das organisatorische Risiko.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.