CVE-2019-1385
Microsoft Windows AppX Deployment Extensions Privilege Escalation Vulnerability
Beschreibung
CVE-2019-1385 ist eine Schwachstelle zur Rechteausweitung in den Windows AppX Deployment Extensions, die eine fehlerhafte Privilegienverwaltung durchführen und so unbefugten Zugriff auf Systemdateien ermöglichen. CISA hat die aktive Ausnutzung bestätigt und CVE-2019-1385 in den Known Exploited Vulnerabilities Katalog mit einer bekannten Ransomware-Verbindung aufgenommen. Mit einem EPSS-Perzentil von 59,0 % erhöht die Ransomware-Verbindung die Dringlichkeit der Behebung trotz des moderaten Ausnutzungswahrscheinlichkeits-Scores erheblich.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1385(Patch, Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-19-979/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1385(US Government Resource)
Schwachstellentyp
CWE-269: Fehlerhafte Privilegienverwaltung
CWE-269 beschreibt Schwachstellen, bei denen ein Produkt Privilegien nicht korrekt zuweist, ändert, verfolgt oder überprüft, sodass ein Akteur mehr Zugriff erhält als vorgesehen. Bei CVE-2019-1385 versagen die Windows AppX Deployment Extensions bei der korrekten Verwaltung von Privilegiengrenzen während der Anwendungsbereitstellung, was einem lokalen Angreifer den Zugriff auf Systemdateien ermöglicht, die für höher privilegierte Prozesse reserviert sein sollten.
Weitere Informationen: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2019-1385 ist eine lokale Schwachstelle zur Rechteausweitung in den Windows AppX Deployment Extensions, die einem Angreifer durch fehlerhafte Privilegienverwaltung Zugang zu geschützten Systemdateien gewährt. Die Schwachstelle erfordert lokalen Zugang zum Zielsystem. Nach erfolgreicher Ausnutzung erhält der Angreifer Zugriff auf Systemdateien, die normalerweise vor Standard-Benutzerkonten geschützt sind, einschließlich Systemkonfigurationsdateien, Sicherheitsrichtlinieneinstellungen und Anmeldedatenspeicher. Die bestätigte Ransomware-Verbindung im CISA KEV-Katalog macht diese Schwachstelle besonders besorgniserregend — Ransomware-Betreiber nutzen Privilegieneskalation, um Sicherheitssoftware zu deaktivieren, systemkritische Dateien zu verschlüsseln und die Auswirkung ihrer Angriffe zu maximieren. Das EPSS-Perzentil von 59,0 % weist auf eine moderate Ausnutzungswahrscheinlichkeit hin, aber die Ransomware-Verbindung bedeutet, dass Organisationen die Behebung unabhängig vom EPSS-Score priorisieren sollten.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2019-1385 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 13. Juni 2022 aufgenommen. Der KEV-Katalog kennzeichnet diese Schwachstelle ausdrücklich mit einer bekannten Ransomware-Verbindung, was darauf hinweist, dass Ransomware-Betreiber diese Privilegieneskalation in ihre Angriffswerkzeuge integriert haben. Das EPSS-Perzentil von 59,0 % zeigt eine moderate Gesamtausnutzungswahrscheinlichkeit an, aber die Ransomware-Nutzung bestätigt, dass fortgeschrittene Bedrohungsakteure diese Schwachstelle aktiv einsetzen. Privilegieneskalations-Schwachstellen in Windows-Bereitstellungskomponenten sind in Ransomware-Kampagnen besonders wertvoll, da sie den erhöhten Zugang bieten, der zum Deaktivieren von Endpoint-Schutz und zur Bereitstellung von Ransomware-Nutzlasten benötigt wird.
Behebung
- Spielen Sie die von Microsoft bereitgestellten Sicherheitsupdates für die Windows AppX Deployment Extensions ein. CISA verlangt eine Behebung bis zum 13. Juni 2022.
- Angesichts der Ransomware-Verbindung sollten Sie das Patching auf Systemen priorisieren, die kritische Geschäftsdaten speichern, Backup-Infrastruktur und Domänencontrollern, wo eine Ransomware-Bereitstellung die verheerendsten Auswirkungen hätte.
- Beschränken Sie den AppX Deployment Extensions-Dienst auf autorisierte administrative Konten und überwachen Sie nicht autorisierte Nutzung der AppX-Bereitstellungsfunktionalität durch Standard-Benutzerkonten.
- Setzen Sie Endpoint-Detection-and-Response-Lösungen (EDR) mit spezifischen Erkennungsregeln für Privilegieneskalation über Windows-Bereitstellungssubsysteme ein.
- Pflegen Sie isolierte, Offline-Backups aller kritischen Daten und testen Sie Wiederherstellungsverfahren regelmäßig, da die bestätigte Ransomware-Verbindung robuste Backup-Praktiken unerlässlich macht.
Technische Details
CVE-2019-1385 nutzt einen Privilegienverwaltungsfehler in den Windows AppX Deployment Extensions aus, einer Komponente, die für die Bereitstellung und Installation von Windows-Anwendungspaketen (AppX/MSIX) zuständig ist. Die Schwachstelle entsteht, wenn diese Komponente Privilegienstufen während Dateisystemoperationen im Zusammenhang mit der Anwendungsbereitstellung fehlerhaft verwaltet. Die AppX Deployment Extensions führen bestimmte Dateisystemoperationen mit erhöhten Privilegien aus, ohne ordnungsgemäß zu validieren, dass der anfragende Prozess über ausreichende Autorisierung verfügt, oder ohne die Dateipfade, die über diese Operationen zugänglich sind, angemessen einzuschränken. Ein lokaler Angreifer kann dieses Verhalten ausnutzen, um die Bereitstellungskomponente dazu zu bringen, auf systemgeschützte Dateien im Namen des Angreifers zuzugreifen — eine Technik, die als privilegierter Dateioperations-Missbrauch oder Junction/Symlink-Angriff bekannt ist.
Häufig gestellte Fragen
Wird CVE-2019-1385 aktiv ausgenutzt?
Ja, CVE-2019-1385 wird aktiv ausgenutzt, mit bestätigter Ransomware-Nutzung. CISA hat die Schwachstelle in den KEV-Katalog mit einer bekannten Ransomware-Verbindung aufgenommen. Die Ransomware-Verbindung macht eine sofortige Behebung unerlässlich.
Welche Produkte sind von CVE-2019-1385 betroffen?
CVE-2019-1385 betrifft die Windows AppX Deployment Extensions in Microsoft Windows. Mehrere Windows-Versionen sind betroffen. Administratoren sollten die Microsoft-Sicherheitsempfehlung für die spezifische Liste der betroffenen Betriebssystemversionen konsultieren.
Wie behebe ich CVE-2019-1385?
Installieren Sie die Microsoft-Sicherheitsupdates für die betroffenen Windows-Versionen. Priorisieren Sie das Patching auf Systemen mit kritischen Daten und Backup-Infrastruktur. Setzen Sie EDR-Lösungen ein und pflegen Sie Offline-Backups.
Wie schwerwiegend ist CVE-2019-1385?
CVE-2019-1385 ist eine Schwachstelle zur Privilegieneskalation mit bestätigter Ransomware-Verbindung. Obwohl das EPSS-Perzentil von 59,0 % auf moderate Ausnutzungswahrscheinlichkeit hindeutet, erhöht die Ransomware-Nutzung die Bedrohung erheblich. Organisationen sollten dies als hochprioritäres Behebungsziel behandeln.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.