CVE-2020-0938
Microsoft Windows Adobe Font Manager Library Remote Code Execution Vulnerability
Beschreibung
CVE-2020-0938 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in der Microsoft Windows Adobe Font Manager Library mit einem CVSS-3.1-Score von 7.8. Die Schwachstelle besteht, wenn die Windows Adobe Type Manager Library speziell gestaltete Multi-Master-Schriftarten im Adobe Type 1 PostScript-Format unsachgemäß verarbeitet. Auf Systemen außer Windows 10 ermöglicht die erfolgreiche Ausnutzung vollständige Remote-Codeausführung. Auf Windows 10 ist die Ausführung auf einen AppContainer-Sandbox-Kontext mit eingeschränkten Rechten begrenzt. Betroffene Produkte umfassen Windows 7 bis Windows 10 (mehrere Builds) und Windows Server 2008 bis 2019. Diese CVE ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 2022-05-03 gelistet. Der außergewöhnlich hohe EPSS-Score von 0.89566 (99,55. Perzentile) weist auf eine extrem hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 1909 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/161299/Apple-CoreText-libFontParser.dylib-Stack-Corruption.html(Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0938(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-0938(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
CVE-2020-0938 wird unter CWE-787 klassifiziert — Out-of-bounds Write. Diese Schwachstelle tritt auf, wenn Software Daten über das Ende eines vorgesehenen Puffers hinaus oder vor den Anfang eines Puffers schreibt. Out-of-bounds-Write-Operationen können benachbarten Speicher korrumpieren, kritische Datenstrukturen einschließlich Funktionszeiger und Rücksprungadressen überschreiben und letztlich beliebige Codeausführung ermöglichen.
Im Kontext der Windows Adobe Font Manager Library wird der Out-of-bounds-Write während des Parsens speziell gestalteter Adobe Type 1 PostScript-Schriftdaten ausgelöst. Schwachstellen beim Schriftart-Parsing sind besonders gefährlich, da Schriftarten automatisch verarbeitet werden, wenn Dokumente geöffnet oder in der Vorschau angezeigt werden, was Angriffsszenarien ermöglicht, bei denen bereits das Anzeigen eines Dokuments im Windows Explorer die Ausnutzung auslöst.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer Zugriff auf alle Daten, die dem kompromittierten Prozess zugänglich sind. Auf Nicht-Windows-10-Systemen bedeutet dies uneingeschränkten Zugriff auf Benutzerdaten, Zugangsdaten und potenziell systemweite Informationen.
Integrität (HIGH): Angreifer können Dateien modifizieren, Malware installieren, Systemkonfigurationen ändern und persistente Backdoors auf kompromittierten Systemen einrichten.
Verfügbarkeit (HIGH): Die Schwachstelle kann Anwendungsabstürze, Systeminstabilität oder vollständige Dienstverweigerung durch fehlerhafte Schriftartverarbeitung verursachen.
Scope: Der Scope ist Unchanged (U). Auf Windows 10 wird der Impact zusätzlich durch den AppContainer-Sandbox begrenzt. Auf älteren Windows-Versionen ist der Impact auf den Benutzerkontext beschränkt, kann aber durch zusätzliche Schwachstellen eskaliert werden.
Mit einem EPSS-Score von 0.89566 (99,55. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten aller weltweit erfassten Schwachstellen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-0938 wurde als Zero-Day ausgenutzt, bevor Patches verfügbar waren. Microsoft bestätigte begrenzte gezielte Angriffe im März 2020, bevor das April-2020-Sicherheitsupdate veröffentlicht wurde. Der EPSS-Score von 0.89566 (99,55. Perzentile) platziert sie unter den am häufigsten ausgenutzten Schwachstellen weltweit.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang bestätigt. Remote-Code-Execution-Schwachstellen in Font-Handling-Bibliotheken wurden jedoch historisch von fortgeschrittenen Bedrohungsakteuren für gezielte Einbrüche genutzt.
Angriffsfläche: Die Schwachstelle kann ausgelöst werden durch das Öffnen eines Dokuments mit bösartiger Schriftart, die Dateivorschau im Windows Explorer oder das Browsen zu einer Webseite mit manipuliertem Font-Inhalt. Die vielfältige Angriffsfläche macht die Ausnutzung über mehrere Vektoren zugänglich.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03. Organisationen sollten die Behebung angesichts der bestätigten Ausnutzungshistorie priorisieren.
Behebung
- Microsoft-Sicherheitsupdates umgehend anwenden. Installieren Sie die April-2020-Sicherheitsupdates gemäß Microsofts Advisory unter portal.msrc.microsoft.com.
- Alle betroffenen Systeme identifizieren. Inventarisieren Sie alle Windows 7, 8.1, 10, RT 8.1 und Windows Server 2008 bis 2019-Instanzen. Priorisieren Sie Systeme mit Windows-Versionen älter als Windows 10 aufgrund des schwerwiegenderen Impacts.
- Windows-Vorschaufenster als Interim-Maßnahme deaktivieren. Falls sofortiges Patching nicht möglich ist, deaktivieren Sie das Vorschaufenster und das Detailfenster im Windows Explorer, um automatisches Font-Rendering zu verhindern.
- WebClient-Dienst deaktivieren. Die Deaktivierung von WebDAV reduziert die Remote-Angriffsfläche durch Verhinderung der Ausnutzung über webbasierte Vektoren.
- Auf Kompromittierungsindikatoren überwachen. Prüfen Sie Sicherheitsprotokolle auf Ausnutzungshinweise, insbesondere anomale Prozesse aus Font-Rendering-Operationen und unerwartete Netzwerkverbindungen.
- Migration von End-of-Life-Systemen priorisieren. Windows 7 und Server 2008-Systeme haben das größte Risiko. Planen Sie umgehend die Migration auf unterstützte Betriebssystemversionen.
Technische Details
Angriffsvektor: LOCAL
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Erforderlich
Technischer Ablauf: Die Schwachstelle befindet sich in der Windows Adobe Type Manager Library (atmfd.dll), die das Rendering von Adobe Type 1 PostScript-Schriftarten übernimmt. Bei der Verarbeitung speziell gestalteter Multi-Master-Schriftdaten führt die Bibliothek einen Out-of-bounds-Write durch, der Heap-Speicher korrumpiert. Durch sorgfältige Strukturierung der Schriftdaten kann ein Angreifer die Speicherkorruption kontrollieren, Funktionszeiger überschreiben und Codeausführung im Kontext des aufrufenden Prozesses erreichen.
Angriffsszenarien: (1) Öffnen eines Dokuments mit eingebetteter bösartiger Type-1-Schriftart, (2) Vorschau einer Schriftdatei im Windows Explorer, (3) Besuch einer Webseite mit manipuliertem Font-Inhalt. Das Explorer-Vorschau-Szenario ist besonders gefährlich, da minimale Benutzerinteraktion erforderlich ist.
Betroffene Produkte: Windows 10 (1507 bis 1909), Windows 7, Windows 8.1, Windows RT 8.1 und Windows Server 1803 bis 2019.
CVSS-3.1-Bewertung: Der Score von 7.8 (HOCH) reflektiert den lokalen Angriffsvektor mit niedriger Komplexität ohne erforderliche Rechte, aber mit erforderlicher Benutzerinteraktion bei hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2020-0938 aktiv ausgenutzt?
Ja, CVE-2020-0938 wurde aktiv in der Praxis ausgenutzt. Sie wurde zunächst als Zero-Day ausgenutzt, bevor Microsoft im April 2020 Patches veröffentlichte. Der EPSS-Score von 0.89566 (99,55. Perzentile) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit, und die Schwachstelle ist im CISA KEV-Katalog gelistet.
Welche Produkte sind von CVE-2020-0938 betroffen?
CVE-2020-0938 betrifft Microsoft-Windows-Produkte einschließlich Windows 7, Windows 8.1, Windows 10 (Builds 1507 bis 1909), Windows RT 8.1 und mehrere Windows-Server-Versionen (1803, 1903, 1909, 2008, 2012, 2016, 2019). Nicht-Windows-10-Systeme haben ein höheres Risiko, da die Ausnutzung dort vollständige Codeausführung außerhalb einer Sandbox erreicht.
Wie behebe ich CVE-2020-0938?
Wenden Sie die April-2020-Sicherheitsupdates von Microsoft an. Als Interim-Maßnahmen deaktivieren Sie das Windows Explorer-Vorschaufenster und das Detailfenster, um automatisches Font-Rendering zu verhindern, und deaktivieren Sie den WebClient-Dienst zur Reduzierung der Remote-Angriffsfläche. Priorisieren Sie die Migration von End-of-Life-Betriebssystemen.
Wie schwerwiegend ist CVE-2020-0938?
CVE-2020-0938 ist mit einem CVSS-Score von 7.8 als HOCH eingestuft. Auf Nicht-Windows-10-Systemen erreicht die Ausnutzung vollständige Remote-Codeausführung. Auf Windows 10 ist der Impact auf den AppContainer-Sandbox begrenzt. Der EPSS-Score von 0.89566 (99,55. Perzentile) platziert sie unter den am häufigsten ausgenutzten Schwachstellen weltweit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.