CVE-2019-1458
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2019-1458 ist eine Sicherheitslücke zur Erhöhung von Berechtigungen (Privilege Escalation) in der Windows Win32k-Komponente von Microsoft. Die Schwachstelle entsteht durch eine fehlerhafte Behandlung von Objekten im Speicher und ermöglicht es einem lokalen Angreifer mit geringen Berechtigungen, vollständige Kontrolle über das betroffene System zu erlangen. CISA hat CVE-2019-1458 in den Known Exploited Vulnerabilities-Katalog aufgenommen und die aktive Ausnutzung bestätigt. Besonders besorgniserregend ist, dass diese Schwachstelle nachweislich in Ransomware-Kampagnen eingesetzt wird. Mit einem EPSS-Score von 91,94 % (99,7. Perzentile) ist die Ausnutzung nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/156651/Microsoft-Windows-WizardOpium-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/159569/Microsoft-Windows-Uninitialized-Variable-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1458(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1458(US Government Resource)
Schwachstellentyp
Privilege Escalation über unsachgemäße Speicherbehandlung
Die Win32k-Komponente von Windows verarbeitet Objekte im Speicher fehlerhaft, was einem Angreifer ermöglicht, erhöhte Berechtigungen zu erlangen. Diese Art von Kernel-Level-Schwachstelle ist besonders kritisch, da sie vollständigen Systemzugriff ermöglicht und häufig in Exploit-Ketten mit anderen Schwachstellen kombiniert wird.
Weitere Informationen: Win32k Elevation of Privilege
Auswirkungsanalyse
CVE-2019-1458 hat einen CVSS 3.1-Score von 7.8 (HIGH) und stellt eine ernsthafte Bedrohung für betroffene Windows-Systeme dar. Die Schwachstelle erfordert lokalen Zugriff und geringe Berechtigungen, benötigt jedoch keine Benutzerinteraktion und weist eine niedrige Angriffskomplexität auf. Eine erfolgreiche Ausnutzung kompromittiert Vertraulichkeit (Hoch), Integrität (Hoch) und Verfügbarkeit (Hoch) vollständig, was einem Angreifer ermöglicht, beliebigen Code mit Kernel-Berechtigungen auszuführen, Daten zu stehlen oder zu manipulieren und den Systembetrieb zu stören. Die bestätigte Verwendung in Ransomware-Kampagnen erhöht die Dringlichkeit erheblich. Der extrem hohe EPSS-Score von 91,94 % zeigt, dass diese Schwachstelle aktiv und großflächig ausgenutzt wird.
Exploit-Reifegrad
CVE-2019-1458 ist eine der am aktivsten ausgenutzten Privilege-Escalation-Schwachstellen. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security (WizardOpium) sowie über einen weiteren Exploit. CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt und die Schwachstelle wird nachweislich in Ransomware-Angriffen eingesetzt. Der EPSS-Score von 91,94 % (99,7. Perzentile) signalisiert eine nahezu sichere Ausnutzung. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 2022-07-10 zu beheben.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions. Installieren Sie das entsprechende Sicherheitsupdate von Microsoft umgehend über Windows Update oder WSUS.
- Überprüfen Sie, dass alle betroffenen Windows-Versionen gepatcht wurden, einschließlich: Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (1507, 1607), Windows Server 2008 (-/R2), Windows Server 2012 (-/R2) und Windows Server 2016.
- Implementieren Sie das Prinzip der geringsten Berechtigung für alle Benutzerkonten. Da die Schwachstelle lokale Berechtigungen erfordert, begrenzen Sie die Vergabe lokaler Administratorrechte und verwenden Sie Privileged Access Management (PAM).
- Aktivieren Sie erweiterte Überwachung für Win32k-Kernel-Aufrufe und überprüfen Sie Sicherheitsprotokolle auf Anzeichen von Privilege-Escalation-Versuchen, ungewöhnlicher Prozesserstellung oder unautorisierten Systemänderungen.
- Angesichts der bestätigten Ransomware-Nutzung sollten Sie sicherstellen, dass aktuelle Backups verfügbar sind und Netzwerksegmentierung implementiert ist, um laterale Bewegungen nach einer potenziellen Kompromittierung einzuschränken.
Technische Details
CVE-2019-1458 betrifft die Win32k-Komponente des Windows-Kernels, die für die Verarbeitung von GUI-Objekten und Fensternachrichten zuständig ist. Die Schwachstelle entsteht durch eine fehlerhafte Behandlung von Objekten im Speicher, die einem lokalen Angreifer die Ausführung von Code im Kernel-Kontext ermöglicht. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass der Angriff lokalen Zugriff mit geringen Berechtigungen erfordert, jedoch ohne Benutzerinteraktion auskommt. Die Schwachstelle wurde unter dem Namen "WizardOpium" bekannt und wurde in gezielten Angriffen als Teil einer Exploit-Kette eingesetzt, bei der sie mit einer Browser-Schwachstelle kombiniert wurde, um von Remote-Code-Execution zu vollständiger Systemkontrolle zu eskalieren.
Häufig gestellte Fragen
Wird CVE-2019-1458 aktiv ausgenutzt?
Ja. CVE-2019-1458 wird aktiv ausgenutzt und ist im CISA Known Exploited Vulnerabilities-Katalog gelistet. Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 91,94 % (99,7. Perzentile) bestätigt die nahezu sichere Ausnutzung.
Welche Produkte sind von CVE-2019-1458 betroffen?
CVE-2019-1458 betrifft zahlreiche Microsoft-Windows-Versionen, darunter Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Versionen 1507 und 1607) sowie Windows Server 2008 (-/R2), Windows Server 2012 (-/R2) und Windows Server 2016.
Wie behebe ich CVE-2019-1458?
Installieren Sie das entsprechende Sicherheitsupdate von Microsoft über Windows Update oder WSUS. Stellen Sie sicher, dass alle betroffenen Systeme auf dem aktuellen Patchstand sind. Begrenzen Sie zudem lokale Administratorberechtigungen und aktivieren Sie erweiterte Kernel-Überwachung.
Wie schwerwiegend ist CVE-2019-1458?
CVE-2019-1458 hat einen CVSS 3.1-Score von 7.8 (HIGH). Die bestätigte Ransomware-Nutzung und der EPSS-Score von 91,94 % machen diese Schwachstelle zu einer kritischen Bedrohung, die sofortige Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.