CVE-2021-1732
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2021-1732 ist eine hochgradige Schwachstelle zur Rechteausweitung in Microsoft Win32k, die es einem Angreifer ermöglicht, seine Berechtigungen auf einem kompromittierten Windows-System zu erhöhen. Die Win32k-Komponente verarbeitet Objekte im Speicher nicht ordnungsgemäß, wodurch ein lokaler Angreifer mit niedrigen Berechtigungen Code im Kernelmodus ausführen und vollständige SYSTEM-Kontrolle erlangen kann. CISA hat diese Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung bestätigt, und sie wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Mit einem außergewöhnlich hohen EPSS-Score von 90,42 % (99,6. Perzentil) ist die Wahrscheinlichkeit einer Ausnutzung nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1803 | - |
| microsoft | windows 10 1809 | - |
| microsoft | windows 10 1909 | - |
| microsoft | windows 10 2004 | - |
| microsoft | windows 10 20h2 | - |
| microsoft | windows server 1909 | - |
| microsoft | windows server 2004 | - |
| microsoft | windows server 2019 | - |
| microsoft | windows server 20h2 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/161880/Win32k-ConsoleControl-Offset-Confusion.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/166169/Win32k-ConsoleControl-Offset-Confusion-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-1732(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-1732(US Government Resource)
Schwachstellentyp
CWE-787: Schreiben außerhalb der Grenzen
Schreiben außerhalb der Grenzen (Out-of-bounds Write) ist eine Schwachstelle, bei der Software Daten über das Ende eines Puffers hinaus oder vor den Beginn eines Puffers schreibt. Im Kontext von CVE-2021-1732 enthält die Win32k-Kernelkomponente einen Speicherbeschädigungsfehler, bei dem eine unsachgemäße Behandlung von Objekten es einem Angreifer ermöglicht, über vorgesehene Speichergrenzen hinaus zu schreiben, was zu einer Rechteausweitung führt.
Mehr erfahren: CWE-787 — Schreiben außerhalb der Grenzen
Auswirkungsanalyse
CVE-2021-1732 hat einen CVSS 3.1-Score von 7,8 (HOCH), was ein ernsthaftes Risiko der Rechteausweitung widerspiegelt. Die Schwachstelle erfordert lokalen Zugriff mit niedrigen Berechtigungen, hat jedoch eine geringe Angriffskomplexität und erfordert keine Benutzerinteraktion, was sie nach Erlangung eines ersten Zugangs leicht ausnutzbar macht. Eine erfolgreiche Ausnutzung kompromittiert vollständig die Vertraulichkeit, Integrität und Verfügbarkeit, da der Angreifer Kernelmodus-Codeausführung mit SYSTEM-Berechtigungen erlangt. Der EPSS-Score von 90,42 % (99,6. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin. Diese Schwachstelle wird bekanntermaßen mit Ransomware-Kampagnen in Verbindung gebracht, was das betriebliche Risiko für betroffene Organisationen erheblich erhöht. Die Kombination aus einfacher lokaler Ausnutzung und der Möglichkeit, vollständige Systemkontrolle zu erlangen, macht diese Schwachstelle zu einem kritischen Ziel für Post-Kompromittierungs-Eskalation.
Exploit-Reifegrad
CVE-2021-1732 wird als aktiv ausgenutzt bestätigt, wie die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen belegt, und wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security (ConsoleControl Offset Confusion) und Packet Storm Security (Privilege Escalation), die einsatzbereite Proof-of-Concept-Exploits bereitstellen. Der EPSS-Score von 90,42 % (99,6. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin und platziert diese Schwachstelle unter den am aktivsten ausgenutzten in der aktuellen Bedrohungslandschaft. Bundesbehörden mussten diese Schwachstelle bis zum 17.11.2021 gemäß der verbindlichen Betriebsrichtlinie von CISA beheben.
Behebung
- Sicherheitsupdates des Herstellers sofort anwenden, wie im CISA KEV-Katalog gefordert: Updates gemäß Herstelleranweisungen anwenden. Installieren Sie das Patch-Tuesday-Update von Microsoft vom Februar 2021, das die Win32k-Rechteausweitung behebt.
- Überprüfen Sie, dass alle Windows-Endpunkte das Sicherheitsupdate in der gesamten Umgebung erhalten haben. Die Win32k-Komponente ist in allen Windows-Versionen vorhanden, stellen Sie daher eine umfassende Patch-Abdeckung sicher.
- Implementieren Sie Endpoint Detection and Response (EDR)-Lösungen, die Kernelmodus-Ausnutzungsversuche und verdächtige Rechteausweitungsmuster im Zusammenhang mit Win32k-Exploits erkennen können.
- Wenden Sie das Prinzip der minimalen Berechtigung auf alle Benutzerkonten an und beschränken Sie den lokalen Administratorzugriff, um die Angriffsfläche für Post-Kompromittierungs-Ausnutzung zu minimieren.
- Überwachen Sie auf Kompromittierungsindikatoren im Zusammenhang mit Ransomware-Kampagnen, die diese Schwachstelle nutzen, einschließlich ungewöhnlicher Kerneltreiber-Ladungen, verdächtiger Prozesserstellung mit erhöhten Berechtigungen und Lateral-Movement-Muster.
Technische Details
CVE-2021-1732 ist eine Schwachstelle zur Rechteausweitung in der Windows Win32k-Kernelkomponente, verursacht durch ein Schreiben außerhalb der Grenzen (CWE-787) aufgrund unsachgemäßer Behandlung von Objekten im Speicher. Der Angriffsvektor ist lokal (CVSS-Vektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), was einen lokalen Angreifer mit niedrigen Berechtigungen erfordert, aber die Exploit-Komplexität ist gering und keine Benutzerinteraktion ist nötig. Die Schwachstelle betrifft spezifisch eine ConsoleControl-Offset-Verwechslung in Win32k, bei der ein Angreifer Kernel-Objekte manipulieren kann, um ein Schreiben außerhalb der Grenzen zu erreichen und letztendlich beliebige Codeausführung im Kernelmodus zu erlangen. Dies gewährt dem Angreifer SYSTEM-Berechtigungen und ermöglicht die vollständige Kontrolle über das kompromittierte System, einschließlich der Fähigkeit, Programme zu installieren, Daten zu ändern oder zu löschen und neue Konten mit vollen Benutzerrechten zu erstellen.
Häufig gestellte Fragen
Wird CVE-2021-1732 aktiv ausgenutzt?
Ja. CVE-2021-1732 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine aktive Ausnutzung bestätigt. Sie wird auch bekanntermaßen in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 90,42 % (99,6. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin.
Welche Produkte sind betroffen?
CVE-2021-1732 betrifft die Microsoft Win32k-Komponente in Windows-Betriebssystemen. Die Win32k-Rechteausweitungsschwachstelle betrifft mehrere Windows-Versionen. Organisationen sollten die Microsoft-Sicherheitsempfehlung (portal.msrc.microsoft.com) für spezifische betroffene Versionen und Patches konsultieren.
Wie behebe ich CVE-2021-1732?
Wenden Sie das Sicherheitsupdate von Microsoft vom Februar 2021 gemäß Herstelleranweisungen an. Stellen Sie sicher, dass alle Windows-Endpunkte gepatcht sind. Implementieren Sie zusätzlich EDR-Lösungen zur Erkennung von Ausnutzungsversuchen und setzen Sie Least-Privilege-Richtlinien durch, um das Risiko einer Post-Kompromittierungs-Eskalation zu reduzieren.
Wie schwerwiegend ist CVE-2021-1732?
CVE-2021-1732 hat einen CVSS 3.1-Score von 7,8 (HOCH). Obwohl lokaler Zugriff erforderlich ist, machen die geringe Angriffskomplexität, keine erforderliche Benutzerinteraktion und die vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit diese Schwachstelle zu einer kritischen Bedrohung. Die Verbindung mit Ransomware-Kampagnen und der extrem hohe EPSS-Score (90,42 %) machen eine sofortige Behebung unerlässlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.