CVE-2021-1647
Microsoft Defender Remote Code Execution Vulnerability
Beschreibung
CVE-2021-1647 ist eine HOHE Schwachstelle in Microsoft Defender mit einem CVSS 3.1-Score von 7.8. Microsoft Defender contains an unspecified vulnerability that allows for remote code execution. Die NVD beschreibt dieses Problem als: Microsoft Defender Remote Code Execution Vulnerability. Betroffene Produkte umfassen Microsoft Windows Defender, Microsoft Security Essentials, Microsoft System Center Endpoint Protection. Diese CVE ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen (KEV) mit einer Behebungsfrist bis 2021-11-17 gelistet. Mit einem EPSS-Score von 0.77891 (98.99. Perzentil) zeigt diese Schwachstelle erhebliche reale Ausnutzungsaktivität und sollte für sofortige Behebung priorisiert werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows defender | - |
| microsoft | security essentials | - |
| microsoft | system center endpoint protection | -; 2012 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-1647(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-1647(US Government Resource)
Schwachstellentyp
Nicht spezifizierter Schwachstellentyp
CVE-2021-1647 hat keine spezifische CWE-Klassifizierung in der NVD-Datenbank zugewiesen. Die Schwachstelle betrifft Microsoft Defender und microsoft Defender contains an unspecified vulnerability that allows for remote code execution. Obwohl der genaue Schwachstellentyp nicht formal kategorisiert ist, deuten die Merkmale der Schwachstelle — lokaler Angriffsvektor, niedrige Komplexität und hoch Schweregrad — auf einen erheblichen Sicherheitsmangel hin, der die Ausführung von beliebigem Code ermöglicht, wodurch Angreifer willkürliche Befehle auf betroffenen Systemen ausführen können.
Das Fehlen einer spezifischen CWE-Klassifizierung mindert nicht die Schwere dieser Schwachstelle. Organisationen sollten sie mit derselben Dringlichkeit behandeln wie jede aktiv ausgenutzte Schwachstelle im CISA KEV-Katalog.
Auswirkungsanalyse
CVE-2021-1647 hat einen CVSS 3.1-Score von 7.8 (HOCH) mit unverändertem Scope.
Vertraulichkeit (HIGH): Eine erfolgreiche Ausnutzung gewährt dem Angreifer umfangreichen Zugriff auf sensible Daten, die von Microsoft Defender verarbeitet werden, einschließlich Systemdateien, Anmeldedaten und potenziell Daten von verbundenen Systemen.
Integrität (HIGH): Angreifer können kritische Systemdateien verändern, Hintertüren installieren, Konfigurationen ändern oder Malware auf betroffenen Systemen mit Microsoft Defender bereitstellen.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung des betroffenen Dienstes oder Systems ist möglich, einschließlich Denial-of-Service, Systemabstürzen oder der Unbrauchbarmachung von Microsoft Defender.
Scope Unchanged: Der Scope der Schwachstelle ist Unchanged (U), was bedeutet, dass die Ausnutzung auf die verwundbare Komponente beschränkt ist. Die Auswirkungen sind zwar erheblich, aber auf die Microsoft Defender-Umgebung selbst begrenzt.
Mit einem EPSS-Score von 0.77891 (98.99. Perzentil) gehört diese Schwachstelle zu den am häufigsten in realen Angriffen ausgenutzten, was die Dringlichkeit der Behebung unterstreicht.
Exploit-Reifegrad
CVE-2021-1647 hat bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet.
Exploit-Status: Diese Schwachstelle wird aktiv ausgenutzt, wie die Aufnahme in den KEV-Katalog bestätigt. Der EPSS-Score von 0.77891 (98.99. Perzentil) ordnet sie unter die am häufigsten ausgenutzten Schwachstellen ein.
Ransomware-Verbindung: Nach den aktuellen KEV-Daten wurde keine direkte Ransomware-Verbindung für CVE-2021-1647 bestätigt. Die bestätigte Ausnutzung in freier Wildbahn bedeutet jedoch, dass Bedrohungsakteure diese Schwachstelle aktiv in Angriffen einsetzen.
Angriffsfläche: Der lokale Angriffsvektor erfordert, dass der Angreifer eine Form von Zugang zum Zielsystem hat. Obwohl dies die ferngesteuerte Angriffsfläche einschränkt, wird diese Schwachstelle häufig in Post-Compromise-Szenarien ausgenutzt, in denen Angreifer über andere Wege (Phishing, andere Schwachstellen) initialen Zugang erlangt haben und dann CVE-2021-1647 für weitere Kompromittierung nutzen.
KEV-Frist: CISA verpflichtete Bundesbehörden, diese Schwachstelle bis 2021-11-17 zu beheben. Alle Organisationen sollten diese Frist als dringende Empfehlung für ihre eigenen Behebungszeitpläne betrachten.
Behebung
- Hersteller-Patches sofort anwenden. Apply updates per vendor instructions. Konsultieren Sie das Hersteller-Advisory unter msrc.microsoft.com für spezifische Patch-Anweisungen.
- Betroffene Produktversionen in Ihrer Umgebung überprüfen. Identifizieren Sie alle Instanzen von Microsoft Defender in Ihrer Infrastruktur. Betroffene Produkte umfassen Microsoft Windows Defender, Microsoft Security Essentials, Microsoft System Center Endpoint Protection. Verwenden Sie Asset-Inventar- und Schwachstellen-Scanning-Tools, um sicherzustellen, dass keine Instanzen übersehen werden.
- Zwischenlösungen implementieren, falls Patching verzögert wird. Falls sofortiges Patching nicht möglich ist, wenden Sie Netzwerk-Kontrollen an, wie die Einschränkung des Zugriffs auf die betroffene Komponente, die Aktivierung erweiterter Protokollierung und die Überwachung auf Kompromittierungsindikatoren. Beschränken Sie den lokalen Benutzerzugriff und setzen Sie das Prinzip der geringsten Berechtigung durch, um das Ausnutzungsrisiko zu reduzieren.
- Nach Anzeichen früherer Ausnutzung suchen. Angesichts der bestätigten aktiven Ausnutzung dieser Schwachstelle überprüfen Sie Systemprotokolle und Sicherheitsüberwachungsdaten auf Hinweise auf eine Kompromittierung. Führen Sie eine gründliche Untersuchung durch, wenn verdächtige Aktivitäten entdeckt werden.
- Erkennungssignaturen und Überwachungsregeln aktualisieren. Stellen Sie sicher, dass Intrusion-Detection- und Prevention-Systeme, Endpoint-Detection-Tools und SIEM-Regeln aktualisiert sind, um Ausnutzungsversuche gegen CVE-2021-1647 zu erkennen.
- Post-Remediation-Review durchführen. Überprüfen Sie nach dem Patching die Wirksamkeit der Behebung und dokumentieren Sie die durchgeführten Maßnahmen. Aktualisieren Sie Ihre Schwachstellenmanagement-Aufzeichnungen und bewerten Sie, ob zusätzliche Härtungsmaßnahmen erforderlich sind.
Technische Details
CVE-2021-1647 ist eine Schwachstelle mit hochem Schweregrad in Microsoft Defender, die lokalen Zugriff zur Ausnutzung erfordert. Die Angriffskomplexität ist niedrig, was bedeutet, dass keine spezialisierten Bedingungen oder Vorbereitungen über die Angriffsvoraussetzungen hinaus erforderlich sind. Niedrige Berechtigungen sind erforderlich, d.h. ein Angreifer benötigt einfachen authentifizierten Zugang zum System. Es ist keine Benutzerinteraktion erforderlich, wodurch der Angriff vollständig automatisiert werden kann.
Technischer Mechanismus: Microsoft Defender Remote Code Execution Vulnerability Der genaue technische Mechanismus ist in öffentlichen Advisories nicht vollständig spezifiziert, aber die Schwachstelle ermöglicht die Ausführung von beliebigem Code durch einen Fehler in der Komponente.
CVSS 3.1 Vektor-Analyse: Der Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt einen Angriffsvektor von LOCAL, Angriffskomplexität von LOW, erforderliche Berechtigungen von LOW, Benutzerinteraktion NONE, Scope UNCHANGED und Auswirkungsbewertungen von HIGH/HIGH/HIGH für Vertraulichkeit/Integrität/Verfügbarkeit. Der Unchanged Scope bedeutet, dass die Auswirkungen auf die verwundbare Komponente selbst beschränkt sind.
Häufig gestellte Fragen
Wird CVE-2021-1647 aktiv ausgenutzt?
Ja. CVE-2021-1647 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen (KEV) gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 0.77891 (98.99. Perzentil) bestätigt die hohe Ausnutzungswahrscheinlichkeit. Organisationen sollten dies als dringende Sicherheitsangelegenheit behandeln, die sofortige Aufmerksamkeit erfordert.
Welche Produkte sind von CVE-2021-1647 betroffen?
Die betroffenen Produkte umfassen Microsoft Windows Defender, Microsoft Security Essentials, Microsoft System Center Endpoint Protection. Organisationen, die eine dieser Versionen einsetzen, sollten ihre Exposition überprüfen und die Behebung priorisieren. Konsultieren Sie die Hersteller-Advisories für die vollständige und aktuellste Liste betroffener Versionen.
Wie behebe ich CVE-2021-1647?
Apply updates per vendor instructions. Stellen Sie sicher, dass alle betroffenen Instanzen von Microsoft Defender mithilfe von Schwachstellen-Scanning und Asset-Management-Tools identifiziert werden. Falls sofortiges Patching nicht möglich ist, implementieren Sie Netzwerk-Mitigationen und erweiterte Überwachung. Überprüfen Sie nach dem Patching die Behebung und suchen Sie nach Indikatoren früherer Kompromittierung.
Wie schwerwiegend ist CVE-2021-1647?
CVE-2021-1647 wird als HOCH mit einem CVSS 3.1-Score von 7.8 eingestuft. Der EPSS-Score von 0.77891 platziert es im 98.99. Perzentil der Ausnutzungswahrscheinlichkeit. Die Schwachstelle hat bestätigte aktive Ausnutzung in freier Wildbahn und musste von Bundesbehörden bis 2021-11-17 gemäß CISAs KEV-Direktive behoben werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.