CVE-2020-24557
Trend Micro Multiple Products Improper Access Control Vulnerability
Beschreibung
CVE-2020-24557 ist eine schwerwiegende Schwachstelle durch unsachgemäße Zugriffskontrolle in Trend Micro Apex One und Worry-Free Business Security 10.0 SP1 auf Microsoft Windows. Die Schwachstelle ermöglicht es einem lokalen Angreifer, einen bestimmten Produktordner zu manipulieren, um Sicherheitsschutzmaßnahmen vorübergehend zu deaktivieren, eine bestimmte Windows-Funktion zu missbrauchen und eine Privilegienerweiterung zu erreichen. Ein Angreifer muss zunächst die Möglichkeit erlangen, Code mit geringen Privilegien auf dem Zielsystem auszuführen. Die CISA hat die aktive Ausnutzung bestätigt, indem CVE-2020-24557 in den KEV-Katalog aufgenommen wurde. Mit einem EPSS-Score von 1,88 % (82,92. Perzentil) besteht eine messbare Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| trendmicro | apex one | -; 2019 |
| trendmicro | worry-free business security | 10.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://success.trendmicro.com/solution/000263632(Vendor Advisory)
- https://success.trendmicro.com/solution/000267260(Vendor Advisory)
- https://www.zerodayinitiative.com/advisories/ZDI-20-1094/(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-24557(US Government Resource)
Schwachstellentyp
Für CVE-2020-24557 wurde in der NVD-Datenbank kein spezifischer CWE zugewiesen. Die Schwachstelle umfasst unsachgemäße Zugriffskontrolle über einen Produktordner, die es einem Angreifer ermöglicht, Sicherheitseinstellungen zu manipulieren und Privilegien durch Missbrauch von Windows-Funktionalität zu eskalieren. Das Kernproblem sind unzureichende Dateisystem-Berechtigungskontrollen für sicherheitskritische Produktverzeichnisse.
Auswirkungsanalyse
CVE-2020-24557 weist einen CVSS-3.1-Score von 7,8 (HIGH) auf und stellt eine erhebliche lokale Privilegienerweiterungsbedrohung dar. Die Schwachstelle erfordert lokalen Zugriff mit geringer Angriffskomplexität und geringfügigen Privilegien, aber keine Benutzerinteraktion. Vertraulichkeit (Hoch) ist vollständig betroffen, da die Privilegienerweiterung Zugriff auf alle Daten gewährt, die höher privilegierten Konten zugänglich sind. Integrität (Hoch) erlaubt die Änderung von Systemdateien, Sicherheitskonfigurationen und Anwendungsdaten mit erhöhten Berechtigungen. Verfügbarkeit (Hoch) ermöglicht die Störung von Sicherheitsdiensten und Systembetrieb. Obwohl der Angriffsvektor lokal statt netzwerkbasiert ist, macht die Fähigkeit, Endpoint-Sicherheitsschutz zu deaktivieren und Privilegien zu eskalieren, diese Schwachstelle besonders gefährlich in Post-Compromise-Szenarien. Bemerkenswert ist, dass Microsoft Windows 10 Version 1909 (OS Build 18363.719) den in diesem Exploit verwendeten Hard-Link-Missbrauch absichert, frühere Windows-Versionen jedoch verwundbar bleiben.
Exploit-Reifegrad
CVE-2020-24557 ist durch die Aufnahme in den CISA-KEV-Katalog als aktiv ausgenutzt bestätigt, mit einer Behebungsfrist bis zum 03.05.2022. Der EPSS-Score von 1,88 % (82,92. Perzentil) weist auf eine messbare Ausnutzungswahrscheinlichkeit hin. Eine detaillierte technische Analyse ist über das Zero Day Initiative Advisory (ZDI-20-1094) verfügbar, das zusätzlichen Exploit-Kontext liefert. Die Schwachstelle ist besonders attraktiv für Post-Exploitation-Szenarien, in denen Angreifer sie zur Privilegienerweiterung und Deaktivierung der Sicherheitsüberwachung nutzen, nachdem sie über andere Wege initialen Zugriff erlangt haben.
Behebung
- Hersteller-Patches sofort anwenden gemäß CISA-KEV-Anforderung. Installieren Sie die Sicherheitsupdates von Trend Micro für Apex One (einschließlich Version 2019) und Worry-Free Business Security 10.0 SP1 gemäß den Hersteller-Advisories.
- Überprüfen Sie, ob alle Trend Micro Apex One- und Worry-Free Business Security-Installationen auf Windows-Systemen aktualisiert wurden. Kontrollieren Sie sowohl den Management-Server als auch alle bereitgestellten Agents auf korrekten Patch-Status.
- Stellen Sie sicher, dass Microsoft-Windows-Systeme mit den betroffenen Trend-Micro-Produkten mindestens auf Windows 10 Version 1909 (OS Build 18363.719) oder höher aktualisiert sind, was Betriebssystem-seitige Absicherung gegen die in diesem Exploit verwendete Hard-Link-Missbrauchstechnik bietet.
- Überprüfen Sie die Dateisystemberechtigungen der Trend-Micro-Produkt-Installationsverzeichnisse, um sicherzustellen, dass sie dem Least-Privilege-Prinzip folgen und Benutzer mit geringen Privilegien keine sicherheitskritischen Produktordner manipulieren können.
- Setzen Sie Endpoint Detection and Response (EDR) Monitoring ein, um Privilegienerweiterungsversuche zu erkennen, einschließlich verdächtiger Ordnermanipulation, Hard-Link-Erstellung in Produktverzeichnissen und unerwarteter Änderungen an Sicherheitsdienstkonfigurationen.
Technische Details
CVE-2020-24557 nutzt eine Schwachstelle durch unsachgemäße Zugriffskontrolle in den Dateisystemberechtigungen der Produktordner von Trend Micro Apex One und Worry-Free Business Security auf Microsoft Windows aus. Der Angriff umfasst die Manipulation eines bestimmten Produktordners, um Sicherheitsschutzmaßnahmen vorübergehend zu deaktivieren, und den anschließenden Missbrauch einer bestimmten Windows-Funktion (im Zusammenhang mit Hard Links) zur Privilegienerweiterung. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) bestätigt, dass der Angriff lokalen Zugriff und geringfügige Privilegien erfordert, bei geringer Komplexität und ohne Benutzerinteraktion. Der Scope ist unverändert, was bedeutet, dass die Ausnutzung das lokale System betrifft. Ein wesentliches technisches Detail ist, dass Microsoft Windows 10 Version 1909 (OS Build 18363.719) Absicherungen gegen Hard-Link-Missbrauch einführte, die diese spezifische Ausnutzungstechnik auf aktualisierten Windows-Systemen effektiv verhindern. Organisationen mit älteren Windows-Versionen bleiben jedoch vollständig verwundbar. Die Angriffskette erfordert, dass der Angreifer zunächst Code-Ausführung mit geringen Privilegien auf dem Zielsystem erlangt, was dies primär zu einer Privilegienerweiterungsschwachstelle für mehrstufige Angriffe macht.
Häufig gestellte Fragen
Wird CVE-2020-24557 aktiv ausgenutzt?
Ja. CVE-2020-24557 ist im CISA-KEV-Katalog gelistet, was die aktive Ausnutzung bestätigt. Der EPSS-Score von 1,88 % (82,92. Perzentil) weist auf eine messbare Ausnutzungswahrscheinlichkeit hin. Die Zero Day Initiative hat ein Advisory (ZDI-20-1094) mit zusätzlichem technischem Kontext veröffentlicht.
Welche Produkte sind von CVE-2020-24557 betroffen?
CVE-2020-24557 betrifft Trend Micro Apex One (einschließlich Version 2019) und Trend Micro Worry-Free Business Security 10.0 SP1, speziell auf Microsoft Windows. Systeme mit Windows 10 Version 1909 oder höher verfügen über teilweise Absicherung durch Hard-Link-Schutzmaßnahmen.
Wie behebe ich CVE-2020-24557?
Wenden Sie die Sicherheitsupdates von Trend Micro für Apex One und Worry-Free Business Security an. Stellen Sie zusätzlich sicher, dass Windows-Systeme mindestens auf Version 1909 (OS Build 18363.719) aktualisiert sind für Betriebssystem-seitige Absicherung. Überprüfen und beschränken Sie die Dateisystemberechtigungen der Produkt-Installationsverzeichnisse.
Wie schwerwiegend ist CVE-2020-24557?
CVE-2020-24557 hat einen CVSS-3.1-Score von 7,8 (HIGH). Die Schwachstelle ermöglicht lokale Privilegienerweiterung durch Deaktivierung von Sicherheitsschutzmaßnahmen und Missbrauch von Windows-Funktionalität. Obwohl lokaler Zugriff erforderlich ist, macht die Fähigkeit zur Deaktivierung von Endpoint-Security sie zu einem wertvollen Werkzeug für Angreifer in Post-Compromise-Szenarien.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.