CVE-2019-1388
Microsoft Windows Certificate Dialog Privilege Escalation Vulnerability
Beschreibung
CVE-2019-1388 ist eine Schwachstelle zur Rechteausweitung (Elevation of Privilege) im Windows-Zertifikatsdialog, die eine unsachgemäße Durchsetzung von Benutzerberechtigungen ausnutzt. Die Schwachstelle betrifft zahlreiche Microsoft-Windows-Versionen, darunter Windows 7, 8.1, 10 (mehrere Builds) sowie Windows Server 2008, 2012, 2016 und 2019. Ein Angreifer mit niedrigen Berechtigungen kann über den Windows-Zertifikatsdialog seine Rechte auf Systemebene ausweiten und so die vollständige Kontrolle über das betroffene System erlangen. CVE-2019-1388 wurde von CISA in den KEV-Katalog aufgenommen und wird aktiv ausgenutzt, auch im Zusammenhang mit Ransomware-Angriffen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | -; 1803 |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1388(Patch, Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-19-975/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1388(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
CWE-269 beschreibt eine unsachgemäße Verwaltung von Berechtigungen, bei der ein System die Zugriffsrechte von Benutzern nicht korrekt einschränkt oder durchsetzt. Im Fall von CVE-2019-1388 manifestiert sich diese Schwachstelle im Windows-Zertifikatsdialog, der es einem Benutzer mit niedrigen Berechtigungen ermöglicht, Aktionen mit erhöhten Privilegien auszuführen und so eine lokale Rechteausweitung zu erzielen.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2019-1388 hat einen CVSS-Score von 7.8 (High) nach CVSS v3.1 und ermöglicht eine vollständige lokale Rechteausweitung. Angriffsvektor (Lokal): Die Schwachstelle erfordert lokalen Zugang zum Zielsystem — ein Angreifer muss bereits eine Sitzung auf dem System haben oder physischen Zugriff besitzen. Die Angriffskomplexität ist niedrig, es sind keine speziellen Voraussetzungen oder Race-Conditions erforderlich. Niedrige Berechtigungen genügen als Ausgangspunkt, und keine Benutzerinteraktion ist notwendig. Vertraulichkeit (High): Nach erfolgreicher Ausnutzung hat der Angreifer Zugriff auf alle Daten des Systems, einschließlich geschützter Systemdateien und Benutzerinformationen. Integrität (High): Mit Systemberechtigungen kann der Angreifer beliebige Dateien modifizieren, Software installieren oder Sicherheitskonfigurationen ändern. Verfügbarkeit (High): Die vollständige Kontrolle ermöglicht auch das Stoppen von Diensten oder die Zerstörung von Daten. Die Schwachstelle wird in Ransomware-Kampagnen eingesetzt und der EPSS-Score von 7,5% (92. Perzentil) bestätigt eine hohe Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2019-1388 wird aktiv ausgenutzt, wie die Aufnahme in den CISA KEV-Katalog mit einer Behebungsfrist bis zum 28. April 2023 bestätigt. Ransomware-Nutzung ist bekannt — die Schwachstelle wird in Ransomware-Kampagnen als Methode zur lokalen Rechteausweitung eingesetzt, um nach einem initialen Zugang vollständige Systemkontrolle zu erlangen. Der EPSS-Score von 7,5% (92. Perzentil) deutet auf eine signifikante Ausnutzungswahrscheinlichkeit hin. Obwohl in den referenzierten Quellen kein öffentlicher Exploit-Code direkt verlinkt ist, sind detaillierte technische Beschreibungen über die Zero Day Initiative (ZDI-19-975) verfügbar, die Angreifern die Entwicklung funktionierender Exploits erleichtern.
Behebung
- Sicherheitsupdate von Microsoft installieren: Installieren Sie das Sicherheitsupdate aus dem Microsoft Security Advisory für CVE-2019-1388 auf allen betroffenen Windows-Systemen. Das Update behebt die unsachgemäße Durchsetzung von Benutzerberechtigungen im Zertifikatsdialog.
- Alle betroffenen Windows-Versionen patchen: Stellen Sie sicher, dass das Update auf allen betroffenen Versionen installiert wird — Windows 7, 8.1, 10 (Builds 1507, 1607, 1709, 1803, 1809, 1903), Windows RT 8.1, Windows Server 2008, 2012, 2016, 2019 und Server 1903.
- Least-Privilege-Prinzip durchsetzen: Beschränken Sie die Berechtigungen von Standardbenutzern und vermeiden Sie die Verwendung von Administratorkonten für alltägliche Aufgaben. Konfigurieren Sie User Account Control (UAC) auf die höchste Stufe.
- Überwachung privilegierter Aktivitäten: Implementieren Sie Monitoring für ungewöhnliche Rechteausweitungen und die Erstellung neuer privilegierter Prozesse. Überprüfen Sie Windows-Ereignisprotokolle auf verdächtige Aktivitäten im Zusammenhang mit dem Zertifikatsdialog.
- End-of-Life-Systeme ersetzen: Windows 7 und Windows Server 2008 haben das Ende ihres Lebenszyklus erreicht und erhalten keine regulären Sicherheitsupdates mehr. Planen Sie die Migration auf unterstützte Betriebssystemversionen.
Technische Details
CVE-2019-1388 betrifft den Windows-Zertifikatsdialog (Certificate Dialog), der Benutzerberechtigungen nicht korrekt durchsetzt und so eine lokale Rechteausweitung ermöglicht. Improper Privilege Management (CWE-269): Der Zertifikatsdialog in Windows führt bestimmte Aktionen mit erhöhten Privilegien aus, ohne die tatsächlichen Berechtigungen des aufrufenden Benutzers angemessen zu überprüfen. Ein Angreifer mit niedrigen Berechtigungen kann über den Dialog einen Prozess mit Systemberechtigungen starten. Lokaler Angriffsvektor: Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass die Ausnutzung lokalen Zugang erfordert, jedoch bei niedriger Komplexität und ohne Benutzerinteraktion möglich ist. Alle drei Sicherheitsziele — Vertraulichkeit, Integrität und Verfügbarkeit — sind vollständig kompromittierbar. Die Schwachstelle betrifft ein breites Spektrum von Windows-Versionen, von Windows 7 bis Windows 10 Build 1903 sowie mehrere Windows-Server-Versionen, was die Angriffsfläche erheblich vergrößert.
Häufig gestellte Fragen
Wird CVE-2019-1388 aktiv ausgenutzt?
Ja, CVE-2019-1388 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen, und sie wird in Ransomware-Kampagnen als Methode zur lokalen Rechteausweitung eingesetzt. Der EPSS-Score von 7,5% (92. Perzentil) bestätigt die hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2019-1388 betroffen?
CVE-2019-1388 betrifft zahlreiche Microsoft-Windows-Versionen: Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Builds 1507, 1607, 1709, 1803, 1809, 1903) sowie Windows Server 2008, 2012, 2016, 2019 und Server 1903. Alle nicht gepatchten Installationen dieser Versionen sind verwundbar.
Wie behebe ich CVE-2019-1388?
Installieren Sie das Microsoft-Sicherheitsupdate aus dem Security Advisory CVE-2019-1388 auf allen betroffenen Systemen. Für End-of-Life-Systeme wie Windows 7 und Server 2008 sollte eine Migration auf unterstützte Versionen geplant werden. Zusätzlich empfiehlt sich die Durchsetzung des Least-Privilege-Prinzips.
Wie schwerwiegend ist CVE-2019-1388?
CVE-2019-1388 hat einen CVSS-Score von 7.8 (High) und ermöglicht die vollständige Rechteausweitung von einem niedrig privilegierten Benutzer auf Systemebene. In Kombination mit der Ransomware-Nutzung und dem breiten Spektrum betroffener Windows-Versionen ist eine sofortige Behebung dringend empfohlen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.