CVE-2021-23874
McAfee Total Protection (MTP) Improper Privilege Management Vulnerability
Beschreibung
CVE-2021-23874 ist eine Schwachstelle mit hohem Schweregrad fur unsachgemasses Berechtigungsmanagement in McAfee Total Protection (MTP) vor Version 16.0.30 mit einem CVSS-Score von 8.2. Die Schwachstelle ermoglicht es einem lokalen Benutzer mit geringen Berechtigungen, erhohte Privilegien zu erlangen und beliebigen Code auszufuhren, indem die Selbstschutzmechanismen von MTP umgangen werden. Der Fehler resultiert aus fehlerhaften Berechtigungszuweisungen fur kritische Ressourcen, die es Angreifern ermoglichen, das Sicherheitsprodukt selbst zu manipulieren. Nach der Ausnutzung kann ein Angreifer beliebige Prozesse mit erhohten Berechtigungen ausfuhren und so den Endpunktschutz effektiv deaktivieren oder umgehen. Diese Schwachstelle ist im CISA Known Exploited Vulnerabilities Katalog aufgefuhrt, was eine aktive Ausnutzung in freier Wildbahn bestatigt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mcafee | total protection | < 16.0.30 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://service.mcafee.com/FAQDocument.aspx?&id=TS103114(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-23874(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
CWE-269 tritt auf, wenn ein Produkt Berechtigungen fur einen Akteur nicht ordnungsgemass zuweist, andert, verfolgt oder uberpruft, wodurch ein unbeabsichtigter Kontrollbereich entsteht. Bei CVE-2021-23874 schutzt McAfee Total Protection seine eigenen Prozesse und Ressourcen nicht ausreichend vor Manipulation durch lokale Benutzer mit geringeren Berechtigungen, was eine Berechtigungseskalation ermoglicht, die die Selbstschutzfahigkeiten des Produkts umgeht.
Mehr erfahren: CWE-269 — Improper Privilege Management
CWE-732: Incorrect Permission Assignment for Critical Resource
CWE-732 beschreibt Situationen, in denen ein Produkt Berechtigungen fur eine sicherheitskritische Ressource so festlegt, dass unbeabsichtigte Akteure darauf zugreifen oder sie andern konnen. Bei dieser Schwachstelle werden kritischen MTP-Ressourcen Berechtigungen zugewiesen, die es Benutzern mit geringen Berechtigungen ermoglichen, auf Weisen mit ihnen zu interagieren, die eine beliebige Prozessausfuhrung ermoglichen.
Mehr erfahren: CWE-732 — Incorrect Permission Assignment for Critical Resource
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-23874 werden mit einem CVSS-Score von 8.2 und dem Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H als Hoch eingestuft. Obwohl die Ausnutzung lokalen Zugriff mit geringen Berechtigungen und etwas Benutzerinteraktion erfordert, ist der Scope geandert, was bedeutet, dass der Angreifer Ressourcen uber die verwundbare Komponente hinaus beeinflussen kann. Alle drei Auswirkungsdimensionen sind als Hoch eingestuft. Ein erfolgreicher Exploit ermoglicht dem Angreifer die Ausfuhrung beliebigen Codes mit erhohten Berechtigungen und ubernimmt effektiv die Kontrolle uber die Endpunktschutz-Software. Dies ist besonders gefahrlich, da es nicht nur erhohten Systemzugriff gewahrt, sondern auch das Sicherheitsprodukt neutralisiert, das normalerweise bosartige Aktivitaten erkennen und verhindern wurde, wodurch ein blinder Fleck fur Verteidiger entsteht.
Exploit-Reifegrad
CVE-2021-23874 ist im CISA Known Exploited Vulnerabilities (KEV) Katalog aufgefuhrt, hinzugefugt am 3. November 2021, was eine aktive Ausnutzung in freier Wildbahn bestatigt. Der EPSS-Score von 0,009 (74,7. Perzentil) weist auf eine moderate Ausnutzungswahrscheinlichkeit hin, was die lokale Zugriffsanforderung widerspiegelt, die die Angriffsflache im Vergleich zu netzwerkausnutzbaren Schwachstellen einschrankt. Die Aufnahme in den KEV-Katalog bestatigt jedoch, dass Bedrohungsakteure diese Schwachstelle erfolgreich in realen Angriffen eingesetzt haben, wahrscheinlich als Teil von Post-Compromise-Berechtigungseskalationsketten.
Behebung
- McAfee Total Protection aktualisieren auf Version 16.0.30 oder hoher, da diese Version den offiziellen Patch enthalt, der die Berechtigungsmanagement-Schwachstelle behebt.
- Automatische Updates aktivieren fur McAfee Total Protection auf allen Endpunkten, um sicherzustellen, dass Sicherheitspatches zeitnah nach Veroffentlichung angewendet werden.
- Lokale Benutzerkonten einschranken durch Anwendung des Prinzips der geringsten Berechtigung auf allen Systemen, um die Anzahl der Benutzer mit lokalem Zugriff zu minimieren, die diese Schwachstelle potenziell ausnutzen konnten.
- Verdachtige Prozessausfuhrung uberwachen mithilfe von Endpoint-Detection-and-Response-Tools (EDR), um Versuche zu erkennen, McAfee-Total-Protection-Prozesse zu manipulieren oder deren Selbstschutzmechanismen zu umgehen.
- Endpunkt-Sicherheitskonfigurationen uberprufen um zu verifizieren, dass MTPs Manipulationsschutz und Selbstschutzfunktionen nach dem Update ordnungsgemass aktiviert sind und funktionieren.
- Potenziell kompromittierte Systeme untersuchen auf denen die verwundbare Version installiert war, und nach Anzeichen von Berechtigungseskalation, nicht autorisierter Prozessausfuhrung oder deaktivierten Sicherheitskontrollen suchen.
Technische Details
Die Schwachstelle liegt in den Prozess- und Ressourcenschutzmechanismen von McAfee Total Protection. MTP enthalt Selbstschutzfunktionen, die eine unbefugte Anderung oder Beendigung seiner Prozesse und Dateien verhindern sollen. Vor Version 16.0.30 enthielten diese Schutzmassnahmen jedoch einen Fehler bei der Zuweisung von Berechtigungen fur kritische Ressourcen. Ein lokaler Benutzer mit geringen Berechtigungen konnte mit bestimmten MTP-Komponenten auf unbeabsichtigte Weise interagieren und die Ausfuhrungsumgebung des Sicherheitsprodukts manipulieren. Dies ermoglichte dem Angreifer die Ausfuhrung beliebiger Prozesse im Kontext des erhohten MTP-Dienstes, wobei das Sicherheitsprodukt effektiv als Berechtigungseskalationsvektor verwendet wurde. Der Angriff erfordert lokalen Zugriff (AV:L) und geringe Berechtigungen (PR:L), wobei etwas Benutzerinteraktion benotigt wird (UI:R). Der geanderte Scope (S:C) zeigt an, dass der Angreifer den MTP-Dienstkontext nutzen kann, um das breitere System uber die verwundbare Komponente hinaus zu beeinflussen.
Häufig gestellte Fragen
Wird CVE-2021-23874 aktiv ausgenutzt?
Ja. CVE-2021-23874 ist im CISA Known Exploited Vulnerabilities Katalog aufgefuhrt, was bestatigt, dass sie in realen Angriffen aktiv ausgenutzt wurde. Die Schwachstelle wird typischerweise als Teil einer Post-Compromise-Berechtigungseskalation verwendet, bei der ein Angreifer, der bereits lokalen Zugriff hat, den Fehler nutzt, um erhohte Berechtigungen zu erlangen.
Welche Produkte sind von CVE-2021-23874 betroffen?
McAfee Total Protection (MTP) Versionen vor 16.0.30 sind betroffen. Die Schwachstelle betrifft speziell den Selbstschutzmechanismus des Produkts und ermoglicht lokale Berechtigungseskalation und beliebige Codeausfuhrung.
Wie behebe ich CVE-2021-23874?
Aktualisieren Sie McAfee Total Protection auf Version 16.0.30 oder hoher. Stellen Sie sicher, dass automatische Updates fur alle Endpunkt-Installationen aktiviert sind. Uberprufen Sie nach dem Update, dass MTPs Manipulationsschutz und Selbstschutzfunktionen korrekt funktionieren.
Wie schwerwiegend ist CVE-2021-23874?
Mit einem CVSS-Score von 8,2 (Hoch) ist CVE-2021-23874 eine bedeutende Schwachstelle. Obwohl sie lokalen Zugriff erfordert, ermoglicht sie eine Berechtigungseskalation, die den Selbstschutz des Sicherheitsprodukts umgeht und den Endpunktschutz effektiv in einen Angriffsvektor verwandelt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.