CVE-2020-0638
Microsoft Update Notification Manager Privilege Escalation Vulnerability
Beschreibung
CVE-2020-0638 ist eine Schwachstelle zur Rechteausweitung im Microsoft Update Notification Manager. Diese nicht näher spezifizierte Schwachstelle ermöglicht es einem lokalen Angreifer, seine Privilegien auf betroffenen Windows-Systemen zu eskalieren. CISA hat die aktive Ausnutzung von CVE-2020-0638 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer bekannten Ransomware-Verbindung aufgenommen. Mit einem EPSS-Perzentil von 81,8 % stellt diese Schwachstelle ein erhebliches Risiko dar, insbesondere in Ransomware-Angriffsketten, bei denen Privilegieneskalation ein kritischer Schritt zur vollständigen Systemkompromittierung ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 1909 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0638(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-0638(US Government Resource)
Schwachstellentyp
CWE-269: Fehlerhafte Privilegienverwaltung
CWE-269 beschreibt Schwachstellen, bei denen ein Produkt Privilegien nicht korrekt zuweist, ändert, verfolgt oder überprüft, sodass ein Akteur mehr Zugriff erhält als vorgesehen. Bei CVE-2020-0638 versagt der Microsoft Update Notification Manager bei der korrekten Verwaltung von Privilegiengrenzen, was einem lokalen Angreifer ermöglicht, seine Zugriffsrechte von Standard-Benutzerberechtigungen auf erhöhte Systemrechte zu eskalieren.
Weitere Informationen: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2020-0638 ist eine lokal ausnutzbare Schwachstelle zur Rechteausweitung im Microsoft Update Notification Manager, die es einem Angreifer mit initialem Low-Privilege-Zugang ermöglicht, erhöhte Berechtigungen auf dem betroffenen System zu erlangen. Die Schwachstelle ist besonders besorgniserregend aufgrund der bestätigten Verbindung zu Ransomware-Kampagnen, wie im CISA KEV-Katalog vermerkt. Nach erfolgreicher Ausnutzung kann ein Angreifer die erhöhten Privilegien nutzen, um Sicherheitssoftware zu deaktivieren, Dateien zu verschlüsseln, sensible Daten zu exfiltrieren und persistenten Zugang einzurichten. Das EPSS-Perzentil von 81,8 % weist auf eine hohe Ausnutzungswahrscheinlichkeit hin, und die Ransomware-Verbindung bedeutet, dass Organisationen nicht nur Datenkompromittierung, sondern auch potenziellen Betriebsausfall und Erpressungsforderungen gegenüberstehen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2020-0638 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 13. Juni 2022 aufgenommen. Der KEV-Katalog kennzeichnet diese Schwachstelle ausdrücklich mit einer bekannten Ransomware-Verbindung, was darauf hinweist, dass Ransomware-Betreiber sie in ihre Angriffswerkzeuge integriert haben. Das EPSS-Perzentil von 81,8 % spiegelt erhebliche Ausnutzungsaktivität wider. Als Schwachstelle zur Privilegieneskalation in einer Windows-Komponente wird CVE-2020-0638 typischerweise als Post-Compromise-Werkzeug eingesetzt — nach dem initialen Zugang über Phishing oder einen anderen Vektor nutzen Angreifer diese Schwachstelle, um die für die Ransomware-Bereitstellung erforderlichen erhöhten Berechtigungen zu erlangen.
Behebung
- Spielen Sie die von Microsoft bereitgestellten Sicherheitsupdates für die Update-Notification-Manager-Komponente umgehend ein. CISA verlangt eine Behebung bis zum 13. Juni 2022.
- Angesichts der bestätigten Ransomware-Verbindung sollten Sie das Patching auf geschäftskritischen Systemen, Dateiservern und Domänencontrollern priorisieren, wo eine Ransomware-Bereitstellung die größten Auswirkungen hätte.
- Setzen Sie Endpoint-Detection-and-Response-Werkzeuge (EDR) ein, die Privilegieneskalationsverhalten erkennen können, einschließlich abnormaler Dienstmanipulation und Token-Impersonation durch den Update-Notification-Manager-Prozess.
- Implementieren Sie Application Whitelisting und beschränken Sie die Ausführung nicht autorisierter Binärdateien, um die Wahrscheinlichkeit zu verringern, dass Angreifer den für die Ausnutzung dieser Schwachstelle erforderlichen initialen Zugang erlangen.
- Pflegen Sie Offline-Backups kritischer Daten und testen Sie Wiederherstellungsverfahren regelmäßig, da die Ransomware-Verbindung eine Datenwiederherstellungsplanung für die Resilienz gegen Angriffe, die CVE-2020-0638 ausnutzen, unerlässlich macht.
Technische Details
CVE-2020-0638 betrifft eine nicht näher spezifizierte Schwachstelle zur Privilegieneskalation im Microsoft Update Notification Manager, einer Windows-Dienstkomponente zur Verwaltung von Update-Benachrichtigungen. Der genaue technische Mechanismus wurde nicht öffentlich im Detail offengelegt, aber die Schwachstelle ermöglicht es einem lokalen Angreifer, fehlerhafte Privilegienbehandlung innerhalb dieses Dienstes auszunutzen, um seine Zugriffsebene zu erhöhen. Da der Update Notification Manager als Systemdienst operiert, kann ein Fehler in seiner Privilegienverwaltung einem Angreifer, der Code auf einer niedrigeren Integritätsstufe ausführt, SYSTEM- oder Administrator-Berechtigungen verschaffen. Diese Art von Schwachstelle wird typischerweise durch Manipulation von Dienstinteraktionen, Dateisystemoperationen oder Inter-Prozess-Kommunikationskanälen ausgenutzt, die der Update Notification Manager nutzt.
Häufig gestellte Fragen
Wird CVE-2020-0638 aktiv ausgenutzt?
Ja, CVE-2020-0638 wird aktiv ausgenutzt. CISA hat die Schwachstelle in den Known Exploited Vulnerabilities Katalog aufgenommen und eine bekannte Ransomware-Verbindung gekennzeichnet. Das EPSS-Perzentil von 81,8 % bestätigt zusätzlich signifikante Ausnutzungsaktivität.
Welche Produkte sind von CVE-2020-0638 betroffen?
CVE-2020-0638 betrifft die Microsoft-Update-Notification-Manager-Komponente in Windows. Administratoren sollten die Microsoft-Sicherheitsempfehlung für die vollständige Liste der betroffenen Windows-Versionen konsultieren und verfügbare Patches anwenden.
Wie behebe ich CVE-2020-0638?
Installieren Sie die von Microsoft bereitgestellten Sicherheitsupdates umgehend. Angesichts der Ransomware-Verbindung sollten Sie das Patching auf kritischen Infrastruktursystemen priorisieren. Setzen Sie EDR-Lösungen ein, um Privilegieneskalationsaktivitäten während des Patch-Rollouts zu überwachen.
Wie schwerwiegend ist CVE-2020-0638?
CVE-2020-0638 ist eine schwerwiegende Schwachstelle zur Rechteausweitung mit bestätigter Ransomware-Nutzung. Das EPSS-Perzentil von 81,8 % zeigt eine hohe Ausnutzungswahrscheinlichkeit an. Die Ransomware-Verbindung erhöht das Risiko über typische Privilegieneskalations-Schwachstellen hinaus und macht eine sofortige Behebung unerlässlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.