CVE-2020-1020
Microsoft Windows Adobe Font Manager Library Remote Code Execution Vulnerability
Beschreibung
CVE-2020-1020 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in der Microsoft Windows Adobe Font Manager Library mit einem CVSS-3.1-Score von 8.8. Diese Schwachstelle ist eng verwandt mit CVE-2020-0938 und besteht, wenn die Windows Adobe Type Manager Library speziell gestaltete Multi-Master-Schriftarten im Adobe Type 1 PostScript-Format unsachgemäß verarbeitet. Auf Systemen außer Windows 10 ermöglicht die erfolgreiche Ausnutzung vollständige Remote-Codeausführung. Auf Windows 10 ist die Ausführung auf einen AppContainer-Sandbox-Kontext mit eingeschränkten Rechten begrenzt. Betroffene Produkte umfassen Windows 7 bis Windows 10 und Windows Server 2008 bis 2019. Diese CVE ist im CISA KEV-Katalog mit einer Behebungsfrist bis zum 2022-05-03 gelistet. Der EPSS-Score von 0.87956 (99,48. Perzentile) weist auf eine extrem hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 1909 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1020(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-1020(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
CVE-2020-1020 wird unter CWE-787 klassifiziert — Out-of-bounds Write. Diese Schwachstelle tritt auf, wenn Software Daten über die Grenze eines zugewiesenen Puffers hinaus schreibt und benachbarten Speicher korrumpiert. Out-of-bounds-Writes können Funktionszeiger, Rücksprungadressen und kritische Datenstrukturen überschreiben und so beliebige Codeausführung ermöglichen.
Im Kontext der Windows Adobe Font Manager Library tritt dieser Out-of-bounds-Write beim Parsen fehlerhafter Adobe Type 1 PostScript Multi-Master-Schriftdaten auf. Das Font-Rendering-Subsystem ist eine besonders sensitive Angriffsfläche, da die Schriftartverarbeitung automatisch in vielen Windows-Komponenten erfolgt, einschließlich Dokumentviewern, Webbrowsern und der Windows Explorer-Shell.
Mehr erfahren: CWE-787 — Out-of-bounds Write
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer vollen Zugriff auf Daten, die von der kompromittierten Anwendung verarbeitet werden. Auf Prä-Windows-10-Systemen erstreckt sich dies auf alle benutzerzugänglichen Daten einschließlich Zugangsdaten, Dokumente und Netzwerkressourcen.
Integrität (HIGH): Angreifer können persistente Malware installieren, Systemdateien modifizieren, Sicherheitskonfigurationen ändern und Backdoors für langfristigen Zugriff einrichten.
Verfügbarkeit (HIGH): Die Ausnutzung kann Anwendungsabstürze, Systeminstabilität oder Dienstverweigerung durch bösartige Schriftartverarbeitung verursachen. Angreifer mit Codeausführung können auch absichtlich den Systembetrieb stören.
Scope: Auf Windows 10 wird der Impact durch den AppContainer-Sandbox gemildert. Auf älteren Windows-Versionen erhält der Angreifer die vollen Rechte des Prozesses, der die Schriftart rendert, was Benutzer- oder Dienst-Level-Zugriff umfassen kann.
Mit einem EPSS-Score von 0.87956 (99,48. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten aller weltweit erfassten Schwachstellen.
Exploit-Reifegrad
Exploit-Status: CVE-2020-1020 wurde als Zero-Day zusammen mit CVE-2020-0938 ausgenutzt, bevor Patches verfügbar waren. Microsoft bestätigte begrenzte gezielte Angriffe im März 2020. Der EPSS-Score von 0.87956 (99,48. Perzentile) bestätigt extrem hohe reale Ausnutzungsaktivität.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang bestätigt. Die Fähigkeit, Remote-Codeausführung durch dokumentbasierte Angriffe zu erreichen, macht diese Schwachstelle jedoch für den initialen Zugang in Ransomware-Kampagnen geeignet.
Angriffsfläche: Ähnlich wie CVE-2020-0938 kann die Schwachstelle durch das Öffnen eines bösartigen Dokuments, die Dateivorschau im Windows Explorer oder das Browsen zu einer Webseite mit manipuliertem Font-Inhalt ausgelöst werden. Der Netzwerk-Angriffsvektor (CVSS AV:N) ohne Rechtevoraussetzungen erweitert die potenzielle Angriffsfläche erheblich.
KEV-Frist: Die CISA-Behebungsfrist war der 2022-05-03.
Behebung
- Microsoft-Sicherheitsupdates umgehend anwenden. Installieren Sie die April-2020-Sicherheitsupdates gemäß Microsofts Advisory unter portal.msrc.microsoft.com.
- Alle betroffenen Systeme identifizieren. Inventarisieren Sie alle Windows 7, 8.1, 10, RT 8.1 und Windows Server 1903 bis 2019-Instanzen. Systeme mit Prä-Windows-10-Versionen erfordern höchste Priorität.
- Windows Explorer-Vorschaufenster deaktivieren. Als Interim-Maßnahme deaktivieren Sie sowohl das Vorschaufenster als auch das Detailfenster im Windows Explorer, um automatisches Font-Rendering zu verhindern, das die Ausnutzung auslösen kann.
- WebClient-Dienst deaktivieren. Deaktivieren Sie WebDAV zur Reduzierung der Remote-Angriffsfläche und zur Verhinderung der Ausnutzung über netzwerkbasierte Font-Auslieferung.
- ATMFD.DLL-Bibliothek umbenennen. Als zusätzliche Interim-Maßnahme verhindert das Umbenennen oder Deaktivieren der Adobe Type Manager Font Driver-Bibliothek (ATMFD.DLL) die Ausführung des verwundbaren Codes, obwohl dies das Type-1-Font-Rendering beeinträchtigen kann.
- Auf Kompromittierungsindikatoren überwachen und scannen. Prüfen Sie Systemprotokolle auf Ausnutzungshinweise und führen Sie Sicherheitsscans durch, die auf Indikatoren fontbasierter Angriffe abzielen. Priorisieren Sie die Migration von End-of-Life-Windows-Versionen.
Technische Details
Angriffsvektor: NETWORK
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Erforderlich
Technischer Ablauf: Die Schwachstelle befindet sich in der Windows Adobe Type Manager Library (atmfd.dll), die Adobe Type 1 PostScript-Schriftarten verarbeitet. Beim Parsen speziell gestalteter Multi-Master-Schriftdaten validiert die Bibliothek Font-Metriken nicht ordnungsgemäß und löst einen Out-of-bounds-Write aus, der Heap-Speicher korrumpiert. Ein Angreifer kann die bösartige Schriftart so strukturieren, dass die Speicherkorruption kontrolliert wird und Codeausführung im Kontext des Rendering-Prozesses erreicht wird.
Beziehung zu CVE-2020-0938: Sowohl CVE-2020-1020 als auch CVE-2020-0938 zielen auf dieselbe verwundbare Komponente (atmfd.dll) mit ähnlichen Ausnutzungstechniken ab. Sie repräsentieren unterschiedliche Codepfade, die zur gleichen Schwachstellenklasse führen. Beide wurden vor Verfügbarkeit von Patches in der Praxis ausgenutzt.
Betroffene Produkte: Windows 10 (1507 bis 1909), Windows 7, Windows 8.1, Windows RT 8.1 und Windows Server 1903 bis 2019.
CVSS-3.1-Bewertung: Der Score von 8.8 (HOCH) reflektiert den Netzwerk-Angriffsvektor ohne erforderliche Rechte mit erforderlicher Benutzerinteraktion. Dieser Score ist höher als bei CVE-2020-0938 aufgrund des Netzwerk-Angriffsvektors, der eine breitere Ausnutzbarkeit ermöglicht.
Häufig gestellte Fragen
Wird CVE-2020-1020 aktiv ausgenutzt?
Ja, CVE-2020-1020 wurde als Zero-Day zusammen mit CVE-2020-0938 aktiv ausgenutzt. Microsoft bestätigte begrenzte gezielte Angriffe vor der Veröffentlichung von Patches im April 2020. Der EPSS-Score von 0.87956 (99,48. Perzentile) bestätigt extrem hohe Ausnutzungswahrscheinlichkeit, und die Schwachstelle ist im CISA KEV-Katalog gelistet.
Welche Produkte sind von CVE-2020-1020 betroffen?
CVE-2020-1020 betrifft Microsoft-Windows-Produkte einschließlich Windows 7, Windows 8.1, Windows 10 (Builds 1507 bis 1909), Windows RT 8.1 und Windows-Server-Versionen 1903, 1909, 2008, 2012, 2016 und 2019. Systeme mit Prä-Windows-10 haben das höchste Risiko aufgrund des fehlenden AppContainer-Sandboxing.
Wie behebe ich CVE-2020-1020?
Wenden Sie die April-2020-Sicherheitsupdates von Microsoft an. Als Interim-Maßnahmen deaktivieren Sie das Vorschaufenster und Detailfenster im Windows Explorer, deaktivieren Sie den WebClient-Dienst und erwägen Sie das Umbenennen von ATMFD.DLL. Priorisieren Sie die Migration von End-of-Life-Betriebssystemen wie Windows 7.
Wie schwerwiegend ist CVE-2020-1020?
CVE-2020-1020 ist mit einem CVSS-Score von 8.8 als HOCH eingestuft und hat einen Netzwerk-Angriffsvektor. Auf Nicht-Windows-10-Systemen erreicht die Ausnutzung vollständige Remote-Codeausführung ohne Sandbox-Einschränkungen. Der EPSS-Score von 0.87956 (99,48. Perzentile) platziert sie unter den am aktivsten ausgenutzten Schwachstellen weltweit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.