CVE-2019-1215
Microsoft Windows Privilege Escalation Vulnerability
Beschreibung
CVE-2019-1215 ist eine hochgradige Schwachstelle zur Rechteausweitung in Microsoft Windows. Der Fehler liegt in der Art und Weise, wie der ws2ifsl.sys-Treiber (Winsock) Objekte im Speicher verarbeitet, wodurch ein lokal authentifizierter Angreifer Code mit erhöhten Rechten ausführen kann. Die CISA hat diese Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 7,7 % (91,8. Perzentil) und bekannten Ransomware-Verbindungen stellt CVE-2019-1215 eine erhebliche Bedrohung für ungepatchte Windows-Systeme dar, von Windows 7 bis Windows Server 2019.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1703 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1215(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1215(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
Improper Privilege Management tritt auf, wenn eine Softwarekomponente Berechtigungen für einen Akteur nicht korrekt zuweist, ändert, nachverfolgt oder überprüft. Im Fall von CVE-2019-1215 versagt der ws2ifsl.sys-Winsock-Treiber bei der ordnungsgemäßen Verwaltung von Speicherobjekten, wodurch ein authentifizierter Benutzer seine Rechte über das vorgesehene Maß hinaus ausweiten kann.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2019-1215 weist einen CVSS-3.1-Score von 7,8 (HOCH) auf, was ein erhebliches Risiko für betroffene Systeme widerspiegelt. Die Schwachstelle erfordert lokalen Zugang zur Ausnutzung, wobei nur niedrige Berechtigungen benötigt werden, um den Fehler auszulösen. Es ist keine Benutzerinteraktion erforderlich, was die Ausnutzung nach Erlangung eines initialen Zugangs vereinfacht. Eine erfolgreiche Ausnutzung führt zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit, da der Angreifer beliebigen Code mit erhöhten Systemberechtigungen ausführen kann. Die bekannte Verbindung zu Ransomware-Kampagnen macht diese Schwachstelle besonders gefährlich, da Bedrohungsakteure die erhöhten Zugriffsrechte nutzen können, um Verschlüsselungs-Payloads zu verbreiten und maximalen Schaden in betroffenen Umgebungen anzurichten.
Exploit-Reifegrad
CVE-2019-1215 wird durch die Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen als aktiv ausgenutzt bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Die CISA hat diese Schwachstelle zudem als mit Ransomware-Kampagnen in Verbindung stehend markiert, was das Bedrohungsprofil erheblich erhöht. Der EPSS-Score von 7,7 % (91,8. Perzentil) deutet auf eine hohe Wahrscheinlichkeit aktiver Ausnutzung im Vergleich zu anderen Schwachstellen hin. Die KEV-Beschreibung weist auf verwandte Windows-Rechteausweitungsschwachstellen hin, darunter CVE-2019-1253, CVE-2019-1278 und CVE-2019-1303, was darauf hindeutet, dass Angreifer mehrere Privilege-Escalation-Schwachstellen verketten könnten.
Behebung
- Microsoft-Sicherheitsupdates sofort anwenden gemäß der CISA-KEV-Kataloganweisung. Installieren Sie die Patch-Tuesday-Updates vom September 2019 über das Microsoft Security Response Center.
- Überprüfen Sie, dass alle betroffenen Windows-Versionen gepatcht wurden, einschließlich Windows 7, Windows 8.1, Windows 10 (alle Builds von 1507 bis 1903), Windows RT 8.1, Windows Server 2008/R2, Windows Server 2012/R2, Windows Server 2016, Windows Server 2019 sowie Windows Server Versionen 1803 und 1903.
- Beschränken Sie den lokalen Zugriff auf kritische Systeme durch Umsetzung des Prinzips der geringsten Rechte und prüfen Sie Benutzerkontenberechtigungen, um die Angriffsfläche für Rechteausweitungen zu reduzieren.
- Überwachen Sie Systeme auf Kompromittierungsindikatoren, einschließlich unerwarteter Rechteausweitungsereignisse, anomaler Prozesserstellung mit SYSTEM-Berechtigungen und verdächtiger Aktivitäten im Zusammenhang mit dem ws2ifsl.sys-Treiber.
- Setzen Sie Endpoint-Detection-and-Response-Lösungen (EDR) ein, um Ausnutzungsversuche zu erkennen und zu blockieren, die auf Winsock-Speicherverarbeitungsschwachstellen abzielen, und überprüfen Sie Sicherheitsereignisprotokolle auf Hinweise auf vorherige Ausnutzung.
Technische Details
CVE-2019-1215 basiert auf einer fehlerhaften Verarbeitung von Speicherobjekten durch den ws2ifsl.sys-Treiber, einer Kernkomponente des Windows-Winsock-Subsystems. Die Schwachstelle entsteht, wenn der Treiber Objektlebensdauern im Speicher nicht korrekt verwaltet, wodurch ein Angreifer mit niedrigen lokalen Berechtigungen Speicheroperationen manipulieren kann, um Rechte auszuweiten. Der CVSS-Vektorstring CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H bestätigt, dass die Ausnutzung lokalen Zugang mit niedrigen Berechtigungen und geringer Komplexität erfordert, ohne dass eine Benutzerinteraktion notwendig ist. Der Geltungsbereich bleibt unverändert, was bedeutet, dass die Schwachstelle nur die verwundbare Komponente betrifft, aber die Auswirkungen über alle drei CIA-Triade-Dimensionen sind als hoch eingestuft, was eine vollständige Systemkompromittierung bei erfolgreicher Ausnutzung widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2019-1215 aktiv ausgenutzt?
Ja. CVE-2019-1215 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgeführt, was eine aktive Ausnutzung bestätigt. Darüber hinaus besteht eine bekannte Verbindung zu Ransomware-Kampagnen, was diese Schwachstelle zu einem vorrangigen Patchziel macht.
Welche Produkte sind von CVE-2019-1215 betroffen?
CVE-2019-1215 betrifft eine breite Palette von Microsoft-Windows-Versionen, darunter Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Versionen 1507 bis 1903), Windows Server 2008 und R2, Windows Server 2012 und R2, Windows Server 2016, Windows Server 2019 sowie Windows Server Versionen 1803 und 1903.
Wie behebe ich CVE-2019-1215?
Wenden Sie die Sicherheitsupdates vom September 2019 von Microsoft an, wie im CISA-KEV-Katalog empfohlen. Stellen Sie sicher, dass alle betroffenen Windows-Systeme auf die neuesten gepatchten Versionen aktualisiert sind. Falls sofortiges Patching nicht möglich ist, beschränken Sie den lokalen Zugriff und überwachen Sie auf Rechteausweitungsaktivitäten.
Wie schwerwiegend ist CVE-2019-1215?
CVE-2019-1215 hat einen CVSS-3.1-Score von 7,8 (HOCH). Mit einem EPSS-Score im 91,8. Perzentil und bekannten Ransomware-Verbindungen ist dies eine schwerwiegende Schwachstelle, die eine sofortige Behebung für jede Organisation mit betroffenen Windows-Systemen erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.