CVE-2020-0787
Microsoft Windows Background Intelligent Transfer Service (BITS) Improper Privilege Management Vulnerability
Beschreibung
CVE-2020-0787 ist eine Schwachstelle mit dem Schweregrad HIGH zur Privilegieneskalation im Microsoft Windows Background Intelligent Transfer Service (BITS), klassifiziert unter CWE-59 (Unsachgemäße Link-Auflösung vor Dateizugriff). Der Fehler besteht darin, dass BITS symbolische Links bei Dateioperationen nicht ordnungsgemäß verarbeitet, wodurch ein lokaler Angreifer Privilegien auf SYSTEM-Ebene eskalieren und beliebigen Code ausführen kann. Mit einem CVSS-3.1-Score von 7.8 betrifft die Schwachstelle zahlreiche Windows-Versionen, darunter Windows 7, Windows 8.1, Windows 10 (mehrere Builds) und Windows Server-Editionen von 2008 bis 2019. CISA hat CVE-2020-0787 am 28. Januar 2022 in den KEV-Katalog aufgenommen und bestätigte Verbindungen zu Ransomware-Kampagnen. Der EPSS-Score von 0,58819 (98,19. Perzentile) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 1909 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/158056/Background-Intelligent-Transfer-Service-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0787(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-0787(US Government Resource)
Schwachstellentyp
CWE-59: Unsachgemäße Link-Auflösung vor Dateizugriff ('Link Following')
Unsachgemäße Link-Auflösung vor Dateizugriff, allgemein als Symlink-Angriff oder Link-Following-Schwachstelle bekannt, tritt auf, wenn Software über einen Pfad auf eine Datei zugreift, der durch einen Angreifer mittels Erstellung oder Manipulation symbolischer Links, Hardlinks oder Junctions verändert werden kann. Die Schwachstelle entsteht, wenn eine privilegierte Anwendung einem symbolischen Link folgt, ohne zu überprüfen, ob der Link auf einen beabsichtigten und autorisierten Dateispeicherort zeigt. Dies ist besonders gefährlich, wenn die Anwendung mit erhöhten Rechten arbeitet, da der Angreifer Dateioperationen auf sensible Systemdateien umleiten kann, auf die er normalerweise keinen Zugriff hätte.
Im Kontext von CVE-2020-0787 verarbeitet der Windows Background Intelligent Transfer Service (BITS) Dateioperationen während Hintergrund-Datenübertragungen. BITS läuft als Systemdienst mit erhöhten Rechten und verarbeitet Dateiverschiebungen und -umbenennungen als Teil seines Auftragsabschluss-Workflows. Die Schwachstelle entsteht, weil BITS symbolische Links bei diesen Dateioperationen nicht ordnungsgemäß validiert, wodurch ein lokaler Angreifer speziell gestaltete Junctions oder Symlinks erstellen kann, die BITS-Dateioperationen an beliebige Stellen im Dateisystem umleiten. Wenn BITS eine Übertragung abschließt und Dateien an ihren endgültigen Speicherort verschiebt, folgt es dem vom Angreifer erstellten symbolischen Link mit SYSTEM-Rechten und schreibt effektiv vom Angreifer kontrollierte Inhalte an jeden beliebigen Ort im System. Mehr über Link Following (CWE-59) erfahren
Auswirkungsanalyse
CVE-2020-0787 weist einen CVSS-3.1-Basiswert von 7.8 (HIGH) mit lokal ausnutzbaren Angriffscharakteristiken auf.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung gewährt SYSTEM-Level-Privilegien auf dem betroffenen Windows-Host. Dies bietet uneingeschränkten Zugriff auf alle Daten im System, einschließlich Passwort-Hashes aus der SAM-Datenbank, zwischengespeicherter Domänen-Anmeldedaten, Verschlüsselungsschlüssel, Benutzerdokumente, E-Mail-Speicher und aller anderen lokal gespeicherten sensiblen Daten. Der Angreifer kann auch auf Netzwerkressourcen zugreifen, die dem SYSTEM-Konto zur Verfügung stehen, was den Umfang der Datenexposition potenziell erweitert.
Integrität (Hoch): Mit SYSTEM-Privilegien kann der Angreifer jede Datei im System modifizieren, einschließlich geschützter Betriebssystemdateien, Sicherheitskonfigurationen, Registrierungseinträge und installierter Anwendungen. Dies ermöglicht die Installation von Rootkits, Backdoors und persistenter Malware, die Neustarts übersteht. Der Angreifer kann auch Audit-Protokolle manipulieren und Gruppenrichtlinien-Einstellungen ändern, um die Sicherheit in der gesamten Domäne zu schwächen.
Verfügbarkeit (Hoch): SYSTEM-Level-Zugriff ermöglicht dem Angreifer, jeden auf dem Host laufenden Dienst zu stören, kritische Systemdateien zu löschen, Dateisysteme mit Ransomware zu verschlüsseln oder das System vollständig funktionsunfähig zu machen. Angesichts der bestätigten Ransomware-Verbindung hat sich dieser Verfügbarkeitseinfluss in realen Angriffen manifestiert, bei denen die Privilegieneskalation zum Einsatz von Ransomware-Payloads genutzt wurde.
Scope (Unverändert): Der Scope bleibt unverändert, da die Schwachstelle denselben Sicherheitskontext betrifft. Allerdings ermöglicht SYSTEM-Level-Zugriff auf einer domänenverbundenen Maschine häufig laterale Bewegung zu anderen Systemen. Der EPSS-Score von 0,58819 (98,19. Perzentile) bestätigt eine sehr hohe reale Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2020-0787 wird aktiv in der Praxis ausgenutzt. CISA hat diese Schwachstelle am 28. Januar 2022 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer verbindlichen Behebungsfrist bis zum 28. Juli 2022 für Bundesbehörden. Die Schwachstelle ist ein bevorzugtes Werkzeug für Bedrohungsakteure nach dem initialen Zugang, die bereits einen Brückenkopf auf einem Zielsystem etabliert haben.
Ransomware-Bezug: Der CISA-KEV-Katalog bestätigt ausdrücklich, dass CVE-2020-0787 mit bekannten Ransomware-Kampagnen in Verbindung steht. Ransomware-Betreiber nutzen diese Privilegieneskalation, um SYSTEM-Level-Zugriff zu erlangen, der erforderlich ist, um Sicherheitssoftware zu deaktivieren, auf geschützte Dateien zuzugreifen und Ransomware-Payloads über das Dateisystem zu verteilen.
Öffentliche Exploits: Ein öffentlicher Exploit für diese Schwachstelle ist auf Packet Storm Security als Background Intelligent Transfer Service Privilege Escalation verfügbar. Der detaillierte Exploit-Code senkt die Hürde für die Ausnutzung durch weniger versierte Bedrohungsakteure.
EPSS-Kontext: Der EPSS-Score von 0,58819 (98,19. Perzentile) platziert diese Schwachstelle in den obersten 2% aller CVEs hinsichtlich der Ausnutzungswahrscheinlichkeit, konsistent mit den bestätigten Ransomware-Verbindungen und der öffentlichen Exploit-Verfügbarkeit.
KEV-Frist: Bundesbehörden mussten die Behebung bis zum 28. Juli 2022 anwenden. Angesichts der Ransomware-Verbindung sollten alle Organisationen das Patching betroffener Windows-Systeme priorisieren.
Behebung
-
Microsoft-Sicherheitsupdates umgehend anwenden. Installieren Sie die über Windows Update oder das Microsoft Security Response Center Advisory für CVE-2020-0787 bereitgestellten Sicherheitspatches. Das Update korrigiert, wie BITS symbolische Links bei Dateioperationen verarbeitet.
-
Patching basierend auf Ransomware-Risiko priorisieren. Aufgrund der bestätigten Ransomware-Verbindung priorisieren Sie diesen Patch auf Systemen, die für den Betrieb am kritischsten sind oder sensible Daten speichern. Systeme, die bereits anderen Schwachstellen ausgesetzt sind, die einen initialen Zugang ermöglichen könnten, sollten höchste Priorität erhalten.
-
Systeme auf Kompromittierungsindikatoren überprüfen. Suchen Sie in BITS-Auftragsprotokollen und Windows-Ereignisprotokollen nach Hinweisen auf Symlink-Ausnutzung. Achten Sie auf verdächtige BITS-Aufträge, unerwartete Dateioperationen in privilegierten Verzeichnissen und Anzeichen von Privilegieneskalation wie neue Dienste oder geplante Aufgaben, die unter dem SYSTEM-Kontext von nicht-administrativen Benutzern erstellt wurden.
-
Anwendungskontrolle und Endpoint Detection einsetzen. Setzen Sie Endpoint Detection and Response (EDR)-Lösungen ein, die Privilegieneskalationsversuche mit symbolischer Link-Manipulation erkennen können. Anwendungskontrollrichtlinien können einschränken, welche ausführbaren Dateien mit erhöhten Rechten ausgeführt werden können.
-
Lokale Angriffsfläche einschränken. Stellen Sie sicher, dass lokale Benutzerkonten dem Prinzip der geringsten Rechte folgen. Deaktivieren Sie unnötige lokale Dienste und beschränken Sie über die Windows-Sicherheitsrichtlinie "Symbolische Links erstellen" (SeCreateSymbolicLinkPrivilege), welche Benutzer symbolische Links erstellen können.
-
Netzwerke segmentieren, um Post-Exploitation-Auswirkungen zu begrenzen. Da Ransomware-Betreiber diese Schwachstelle für laterale Bewegung nutzen, implementieren Sie Netzwerksegmentierung und Mikrosegmentierung, um den Explosionsradius bei Kompromittierung eines einzelnen Systems einzudämmen.
Technische Details
CVE-2020-0787 ist eine lokale Privilegieneskalationsschwachstelle im Windows Background Intelligent Transfer Service (BITS). BITS ist ein Systemdienst, der asynchrone Hintergrund-Dateiübertragungen ermöglicht und am häufigsten von Windows Update, SCCM und anderen Microsoft-Diensten verwendet wird. Der Dienst läuft unter dem SYSTEM-Konto und führt Dateiverschiebungen und -umbenennungen als Teil der Auftragsabwicklung durch.
Die Schwachstelle besteht darin, dass BITS Dateipfade bei der Auftragsbeendigung nicht ordnungsgemäß validiert, wenn temporäre heruntergeladene Dateien an ihren endgültigen Speicherort verschoben werden. Ein Angreifer mit lokalem Zugang erstellt einen BITS-Auftrag und manipuliert den temporären Dateispeicher des Auftrags mittels NTFS-Junctions oder symbolischer Links. Wenn BITS die Übertragung abschließt und versucht, die Datei zu verschieben, folgt es dem symbolischen Link mit SYSTEM-Privilegien und schreibt vom Angreifer kontrollierte Inhalte an einen beliebigen Dateispeicherort.
Der CVSS-Vektor (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) gibt an, dass der Angriff lokalen Zugang und etwas Benutzerinteraktion erfordert, aber keine Privilegien notwendig sind, um die Schwachstelle auszulösen. Die Benutzerinteraktionskomponente spiegelt die Notwendigkeit wider, dass das Opfer eine BITS-Übertragung initiiert oder mit ihr interagiert, obwohl diese Anforderung in der Praxis minimal ist, da BITS-Übertragungen auf Windows-Systemen durch automatische Updates und andere Hintergrunddienste häufig auftreten.
Die Grundursache ist eine Time-of-Check-Time-of-Use (TOCTOU) Race Condition kombiniert mit unzureichender Symlink-Validierung. BITS prüft den Zielpfad zu einem Zeitpunkt, führt die eigentliche Dateioperation aber später durch, wobei der Angreifer in diesem Zeitfenster einen symbolischen Link einsetzen kann.
Häufig gestellte Fragen
Was ist CVE-2020-0787?
CVE-2020-0787 ist eine Privilegieneskalationsschwachstelle im Microsoft Windows Background Intelligent Transfer Service (BITS). Sie ermöglicht es einem lokalen Angreifer, die unsachgemäße Verarbeitung symbolischer Links bei Dateioperationen auszunutzen, um Privilegien auf SYSTEM-Ebene zu eskalieren und beliebigen Code auszuführen. Die Schwachstelle ist mit einem CVSS-3.1-Score von 7.8 als HIGH eingestuft und hat bestätigte Verbindungen zu Ransomware-Kampagnen.
Welche Windows-Versionen sind von CVE-2020-0787 betroffen?
CVE-2020-0787 betrifft eine breite Palette von Windows-Versionen, darunter Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Builds 1507 bis 1909), Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019 und Windows Server-Versionen 1803, 1903 und 1909. Organisationen, die eine dieser Versionen ohne das Sicherheitsupdate betreiben, sind gefährdet.
Wie behebe ich CVE-2020-0787?
Wenden Sie das Sicherheitsupdate von Microsoft über Windows Update an oder laden Sie es vom Microsoft Security Response Center herunter. Überprüfen Sie nach dem Patching die Systeme auf Anzeichen einer früheren Ausnutzung, insbesondere unerwartete BITS-Aufträge oder Hinweise auf Symlink-Manipulation in privilegierten Verzeichnissen. Aufgrund der Ransomware-Verbindung behandeln Sie dies als hochprioritären Patch für alle betroffenen Systeme.
Wie schwerwiegend ist CVE-2020-0787?
CVE-2020-0787 ist mit einem CVSS-Score von 7.8 als HIGH eingestuft. Obwohl lokaler Zugang erforderlich ist, spiegelt der EPSS-Score von 0,58819 (98,19. Perzentile) eine sehr hohe reale Ausnutzungswahrscheinlichkeit wider. Entscheidend ist, dass CISA bestätigt hat, dass Ransomware-Betreiber diese Schwachstelle aktiv ausnutzen, um Privilegien zu eskalieren und Ransomware-Payloads einzusetzen. Sie ist im Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist für Bundesbehörden gelistet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.