CVE-2020-1040
Microsoft Hyper-V RemoteFX vGPU Remote Code Execution Vulnerability
Beschreibung
CVE-2020-1040 ist eine kritische Schwachstelle durch fehlerhafte Eingabevalidierung in Microsoft Hyper-V RemoteFX vGPU. Der Hostserver validiert Eingaben eines authentifizierten Benutzers auf einem Gastbetriebssystem nicht ordnungsgemäß, wodurch ein Angreifer Remotecodeausführung auf dem Hostbetriebssystem erreichen kann. Diese Schwachstelle ist im CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgeführt, was eine aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 0,18 % (39,3. Perzentil) ist die Ausnutzungswahrscheinlichkeit relativ gering, aber die kritische Schwere und die Möglichkeit eines Guest-to-Host-Escapes machen sie zu einem vorrangigen Patch-Ziel.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows server 2008 | r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://nvidia.custhelp.com/app/answers/detail/a_id/5044(Third Party Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1040(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-1040(US Government Resource)
Schwachstellentyp
CWE-20: Improper Input Validation
Improper Input Validation (fehlerhafte Eingabevalidierung) tritt auf, wenn Software Eingaben nicht oder nicht korrekt validiert, die den Kontrollfluss oder Datenfluss eines Programms beeinflussen können. Im Fall von Microsoft Hyper-V RemoteFX vGPU validiert der Hostserver Eingaben von authentifizierten Benutzern auf Gastbetriebssystemen nicht ordnungsgemäß, was Remotecodeausführung auf dem Host ermöglicht.
Mehr erfahren: CWE-20 — Improper Input Validation
Auswirkungsanalyse
CVE-2020-1040 hat einen CVSS-3.1-Score von 9,0 (KRITISCH) und stellt eine schwerwiegende Bedrohung für Virtualisierungsumgebungen dar. Die Schwachstelle ist aus einem benachbarten Netzwerk mit geringer Angriffskomplexität ausnutzbar und erfordert nur geringe Berechtigungen, ohne dass eine Benutzerinteraktion nötig ist. Vertraulichkeit (Hoch): Ein Angreifer kann auf sensible Daten des Hyper-V-Hosts zugreifen, einschließlich potenzieller Daten anderer virtueller Maschinen. Integrität (Hoch): Erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes auf dem Host und damit vollständige Systemänderungen. Verfügbarkeit (Hoch): Der Angreifer kann das Hostbetriebssystem und alle gehosteten virtuellen Maschinen stören. Der Scope ist geändert, was bedeutet, dass die Ausnutzung von einer Gast-VM aus den Host und andere Gäste beeinflussen kann.
Exploit-Reifegrad
CVE-2020-1040 wird durch die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt. Der EPSS-Score von 0,18 % (39,3. Perzentil) deutet darauf hin, dass die Ausnutzung zwar nicht weit verbreitet, aber in gezielten Angriffen auf Hyper-V-Umgebungen vorkommt. In den verfügbaren Referenzen wurde kein öffentlicher Exploit-Code oder Proof-of-Concept identifiziert. Diese Schwachstelle gehört zu einer Familie verwandter Hyper-V-RemoteFX-vGPU-Fehler (CVE-2020-1032, CVE-2020-1036, CVE-2020-1041, CVE-2020-1042, CVE-2020-1043), die gemeinsam für größere Auswirkungen genutzt werden können.
Behebung
- Sicherheitsupdates des Herstellers sofort anwenden, wie von der CISA-KEV-Direktive gefordert: Updates gemäß Herstelleranweisungen anwenden. Die Frist war der 03.05.2022.
- Alle betroffenen Microsoft Windows Server-Installationen aktualisieren — Windows Server 2008 R2, Windows Server 2012 (einschließlich R2) und Windows Server 2016 — auf die neuesten kumulativen Sicherheitspatches.
- Falls sofortiges Patching nicht möglich ist, die RemoteFX-vGPU-Funktion auf betroffenen Hyper-V-Hosts deaktivieren, um die Angriffsfläche zu eliminieren.
- Netzwerksegmentierung implementieren, um Hyper-V-Verwaltungsschnittstellen zu isolieren und den Zugriff aus benachbarten Netzwerken auf vertrauenswürdige Systeme zu beschränken.
- Hyper-V-Host-Ereignisprotokolle auf ungewöhnliche Aktivitäten überwachen, die von Gastbetriebssystemen ausgehen, einschließlich unerwarteter Prozessausführung und Privilegieneskalationsversuche.
Technische Details
CVE-2020-1040 basiert auf einem Fehler in der Eingabevalidierung (CWE-20) innerhalb der Hyper-V-RemoteFX-vGPU-Komponente. Die Schwachstelle entsteht, weil der Hostserver Daten von authentifizierten Benutzern auf Gastbetriebssystemen bei der Verarbeitung von RemoteFX-vGPU-Anfragen nicht ausreichend validiert. Der CVSS-Vektor (CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H) zeigt, dass der Angriff Zugang zum benachbarten Netzwerk erfordert, was bedeutet, dass der Angreifer im selben Netzwerksegment oder innerhalb einer Gast-VM präsent sein muss. Mit geringer Angriffskomplexität und geringen erforderlichen Berechtigungen kann ein authentifizierter Gast-OS-Benutzer manipulierte Eingaben erstellen, die die Gastgrenze überwinden und beliebigen Code im Kontext des Hostbetriebssystems ausführen.
Häufig gestellte Fragen
Wird CVE-2020-1040 aktiv ausgenutzt?
Ja. CVE-2020-1040 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung bestätigt. Der EPSS-Score von 0,18 % deutet darauf hin, dass die Ausnutzung gezielt und nicht weit verbreitet ist, aber Organisationen mit Hyper-V und RemoteFX vGPU sollten die Behebung priorisieren.
Welche Produkte sind von CVE-2020-1040 betroffen?
CVE-2020-1040 betrifft Microsoft Windows Server 2008 R2, Windows Server 2012 (einschließlich R2) und Windows Server 2016 mit aktiviertem Hyper-V RemoteFX vGPU. Die Schwachstelle zielt speziell auf die RemoteFX-vGPU-Komponente für GPU-Virtualisierung ab.
Wie behebe ich CVE-2020-1040?
Wenden Sie die von Microsoft bereitgestellten Sicherheitsupdates für alle betroffenen Windows Server-Versionen an. Falls sofortiges Patching nicht möglich ist, deaktivieren Sie die RemoteFX-vGPU-Funktion auf Hyper-V-Hosts und beschränken Sie den Netzwerkzugriff auf Verwaltungsschnittstellen.
Wie schwerwiegend ist CVE-2020-1040?
CVE-2020-1040 hat einen CVSS-3.1-Score von 9,0 (KRITISCH). Die Schwachstelle ermöglicht einen Guest-to-Host-Escape mit vollständiger Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit und gehört damit zu den schwerwiegendsten Typen von Virtualisierungsschwachstellen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.