CVE-2020-1027
Microsoft Windows Kernel Privilege Escalation Vulnerability
Beschreibung
CVE-2020-1027 ist eine Schwachstelle zur Rechteausweitung im Windows-Kernel, die durch eine fehlerhafte Behandlung von Objekten im Speicher verursacht wird. Die Schwachstelle ermöglicht es einem lokalen Angreifer, der bereits initialen Zugang zum System erlangt hat, Code mit erhöhten Berechtigungen auszuführen und so potenziell vollständige SYSTEM-Kontrolle zu erlangen. CISA hat CVE-2020-1027 in den Known Exploited Vulnerabilities Katalog aufgenommen und bestätigt damit die aktive Ausnutzung in der freien Wildbahn. Mit einem EPSS-Perzentil von 92,7 % stellt diese Schwachstelle eine erhebliche Bedrohung dar, die umgehend behoben werden sollte.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | - |
| microsoft | windows 10 1607 | - |
| microsoft | windows 10 1709 | - |
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1903 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 1803 | - |
| microsoft | windows server 1903 | - |
| microsoft | windows server 1909 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/168068/Windows-sxs-CNodeFactory-XMLParser_Element_doc_assembly_assemblyIdentity-Heap-Buffer-Overflow.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1027(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-1027(US Government Resource)
Schwachstellentyp
CWE-269: Fehlerhafte Privilegienverwaltung
CWE-269 beschreibt Schwachstellen, bei denen ein Produkt die Privilegien eines Akteurs nicht korrekt zuweist, ändert, verfolgt oder überprüft, sodass der Akteur mehr Zugriff erhält als vorgesehen. Bei CVE-2020-1027 versagt der Windows-Kernel bei der korrekten Verwaltung von Privilegiengrenzen während der Verarbeitung von Speicherobjekten, was einem Angreifer die Eskalation von niedrigen Integritätsstufen auf vollständige Systemrechte ermöglicht.
Weitere Informationen: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2020-1027 ist eine lokal ausnutzbare Schwachstelle zur Rechteausweitung im Windows-Kernel, die es einem Angreifer mit initialem Zugang auf niedriger Privilegienstufe ermöglicht, beliebigen Code mit SYSTEM-Berechtigungen auszuführen. Der Angriff erfordert lokalen Zugang zum Zielsystem, was bedeutet, dass der Angreifer bereits einen Brückenkopf etabliert haben muss — typischerweise über Phishing, eine separate Remote-Schwachstelle oder Malware-Auslieferung. Nach erfolgreicher Ausnutzung erlangt der Angreifer die vollständige Kontrolle über das betroffene System, wodurch Vertraulichkeit, Integrität und Verfügbarkeit aller Daten und Dienste kompromittiert werden. Das EPSS-Perzentil von 92,7 % weist auf eine hohe Wahrscheinlichkeit aktiver Ausnutzung hin, und die Aufnahme in den CISA KEV-Katalog bestätigt den Einsatz durch Bedrohungsakteure in realen Angriffen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2020-1027 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 13. Juni 2022 aufgenommen. Das EPSS-Perzentil von 92,7 % zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an und platziert diese Schwachstelle deutlich über typischen Kernel-Privilegieneskalations-Schwachstellen hinsichtlich der realen Ausnutzungsaktivität. Als Windows-Kernel-Schwachstelle wird sie häufig als Post-Exploitation-Werkzeug eingesetzt, um nach einem initialen Zugang SYSTEM-Privilegien zu erlangen, was sie zu einer wertvollen Komponente in mehrstufigen Angriffsketten macht.
Behebung
- Spielen Sie die von Microsoft bereitgestellten Sicherheitsupdates für die betroffenen Windows-Versionen umgehend ein. CISA verlangt eine Behebung bis zum 13. Juni 2022.
- Priorisieren Sie das Patching auf Systemen, die extern erreichbar sind oder von privilegierten Benutzern verwendet werden, da diese Schwachstelle am gefährlichsten ist, wenn sie mit initialen Zugangs-Exploits kombiniert wird.
- Implementieren Sie Endpoint-Detection-and-Response-Lösungen (EDR), die zur Erkennung verdächtiger Kernel-Mode-Aktivitäten und Rechteeskalationsversuche konfiguriert sind, einschließlich ungewöhnlicher Prozess-Token-Manipulation.
- Überprüfen Sie System- und Sicherheitsereignisprotokolle auf Indikatoren für Privilegieneskalation, insbesondere Ereignisse, die unerwartete Übergänge von Low-Integrity- zu SYSTEM-Level-Prozessen zeigen.
- Wenden Sie das Prinzip der minimalen Rechtevergabe auf alle Benutzerkonten und Dienste an, um die potenzielle Auswirkung zu begrenzen, falls ein Angreifer vor der Ausnutzung dieser Kernel-Schwachstelle initialen Zugang erlangt.
Technische Details
CVE-2020-1027 beruht auf einem Fehler in der Art und Weise, wie der Windows-Kernel Objekte im Speicher verwaltet, was dem Schwachstellentyp der fehlerhaften Privilegienverwaltung entspricht. Wenn der Kernel bestimmte Speicherobjekte verarbeitet, werden Privilegiengrenzen nicht korrekt validiert oder durchgesetzt, was einem lokalen Angreifer ermöglicht, diese Objekte so zu manipulieren, dass sein Ausführungskontext von einem Low-Integrity- oder User-Mode-Prozess auf SYSTEM-Level-Privilegien angehoben wird. Der Angriff ist lokal, sodass ein Angreifer zunächst über einen anderen Vektor wie eine Phishing-Nutzlast oder eine Remote-Code-Execution-Schwachstelle Codeausführung auf dem Zielsystem erlangen muss. Diese Art der Kernel-Privilegieneskalation ist besonders gefährlich, da sie unterhalb der von User-Mode-Schutzmaßnahmen durchgesetzten Sicherheitsgrenzen operiert und ohne spezialisiertes Kernel-Level-Monitoring schwer zu erkennen ist.
Häufig gestellte Fragen
Wird CVE-2020-1027 aktiv ausgenutzt?
Ja, CVE-2020-1027 wird aktiv ausgenutzt. CISA hat diese Schwachstelle in den Known Exploited Vulnerabilities Katalog aufgenommen und damit die Ausnutzung in realen Angriffen bestätigt. Das EPSS-Perzentil von 92,7 % weist zusätzlich auf eine hohe Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind von CVE-2020-1027 betroffen?
CVE-2020-1027 betrifft Microsoft-Windows-Betriebssysteme. Die Schwachstelle befindet sich in der Windows-Kernel-Komponente und betrifft mehrere Windows-Versionen. Administratoren sollten die Microsoft-Sicherheitsempfehlung für die genaue Liste der betroffenen Betriebssystemversionen konsultieren.
Wie behebe ich CVE-2020-1027?
Installieren Sie die von Microsoft bereitgestellten Sicherheitsupdates so schnell wie möglich. Priorisieren Sie das Patching auf Systemen mit höherem Expositionsrisiko. Implementieren Sie zusätzlich Endpoint-Monitoring zur Erkennung von Rechteeskalationsversuchen, während die Patches ausgerollt werden.
Wie schwerwiegend ist CVE-2020-1027?
CVE-2020-1027 ist eine schwerwiegende Schwachstelle zur Rechteausweitung im Windows-Kernel. Das EPSS-Perzentil von 92,7 % platziert sie unter den am häufigsten ausgenutzten Schwachstellen. Eine erfolgreiche Ausnutzung gewährt SYSTEM-Level-Zugang, was sie zu einer kritischen Bedrohung macht, die umgehend behoben werden sollte.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.