CVE-2021-31955
Microsoft Windows Kernel Information Disclosure Vulnerability
Beschreibung
CVE-2021-31955 ist eine mittelschwere Informationsoffenlegungs-Schwachstelle im Microsoft Windows Kernel mit einem CVSS-3.1-Score von 5.5. Die Schwachstelle ermöglicht es einem lokal authentifizierten Angreifer, den Inhalt des Kernelspeichers aus einem Benutzermodus-Prozess auszulesen, was potenziell sensible Systeminformationen einschließlich Kernel-Adressen zur Umgehung von ASLR (Address Space Layout Randomization) offenlegt. Betroffene Produkte umfassen Microsoft Windows 10 (Versionen 1809, 1909, 2004, 20H2 und 21H1), Windows Server 2019, Windows Server 2004 und Windows Server 20H2. Diese CVE ist im CISA KEV-Katalog gelistet mit einer Behebungsfrist bis zum 2021-11-17. Der EPSS-Score von 0.04647 (89,15. Perzentile) belegt signifikante reale Ausnutzungsaktivität, häufig als Teil von Exploitation-Ketten zusammen mit Privilegieneskalations-Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1809 | < 10.0.17763.1999 |
| microsoft | windows 10 1909 | < 10.0.18363.1621 |
| microsoft | windows 10 2004 | < 10.0.19041.1052 |
| microsoft | windows 10 20h2 | < 10.0.19042.1052 |
| microsoft | windows 10 21h1 | < 10.0.19043.1052 |
| microsoft | windows server 2004 | < 10.0.19041.1052 |
| microsoft | windows server 2019 | < 10.0.17763.1999 |
| microsoft | windows server 20h2 | < 10.0.19042.1052 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-31955(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-31955(US Government Resource)
Schwachstellentyp
CWE-497: Offenlegung sensibler Systeminformationen an unbefugte Akteure
CVE-2021-31955 wird unter CWE-497 klassifiziert — Offenlegung sensibler Systeminformationen an unbefugte Akteure. Diese Schwäche tritt auf, wenn ein Produkt sensible Informationen auf Systemebene an Akteure preisgibt, die nicht dasselbe Zugangsniveau haben. In diesem Fall offenbart der Windows-Kernel interne Kernelspeicherinhalte an Benutzermodus-Prozesse, die nur im Kernelmodus zugänglich sein sollten.
Im Kontext des Windows Kernels ist diese Schwäche besonders gefährlich, da die Offenlegung von Kernel-Adressen ASLR umgeht, eine kritische Sicherheitsmaßnahme. Angreifer verwenden die geleakten Kernel-Adressen, um Kernel-Datenstrukturen und -Code präzise zu lokalisieren, wodurch nachfolgende Privilegieneskalations-Exploits deutlich zuverlässiger werden. Diese Schwachstelle wurde in Verbindung mit CVE-2021-31956 bei gezielten Angriffen des PuzzleMaker-Bedrohungsakteurs beobachtet.
Mehr erfahren: CWE-497 — Offenlegung sensibler Systeminformationen
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung ermöglicht einem Angreifer, Kernelspeicherinhalte aus dem Benutzermodus auszulesen, einschließlich Kernel-Adressen, interner Datenstrukturen und potenziell sensibler Daten, die vom Kernel verarbeitet werden. Diese Informationen sind entscheidend für die Erstellung zuverlässiger Kernel-Exploits.
Integrität (NONE): Diese Schwachstelle ermöglicht keine direkte Modifikation von Kerneldaten oder Systemzustand.
Verfügbarkeit (NONE): Die Ausnutzung dieser Informationsoffenlegungs-Schwachstelle beeinträchtigt die Systemverfügbarkeit nicht direkt.
Scope: Der Scope ist Unchanged (U), die Informationsoffenlegung ist auf die Windows-Kernel-Umgebung beschränkt, obwohl die geleakten Informationen Angriffe ermöglichen, die über den Kernel hinausgehen.
Obwohl der CVSS-Score von 5.5 nur die Informationsoffenlegung widerspiegelt, ist die reale Schwere deutlich höher, da diese Schwachstelle als Baustein in Exploitation-Ketten zur vollständigen Systemkompromittierung verwendet wird.
Exploit-Reifegrad
Exploit-Status: CVE-2021-31955 wurde vor dem Juni-2021-Patch als Zero-Day aktiv in der Praxis ausgenutzt und ist im CISA KEV-Katalog gelistet. Sie wurde vom PuzzleMaker-Bedrohungsakteur in gezielten Angriffen eingesetzt, kombiniert mit einem Chrome-Zero-Day (CVE-2021-21224) für den initialen Zugang und CVE-2021-31956 (Windows NTFS EoP) für die Privilegieneskalation zur vollständigen Systemkompromittierung.
Ransomware-Bezug: Nach aktuellem KEV-Stand wurde kein direkter Ransomware-Zusammenhang bestätigt. Die Rolle der Schwachstelle in APT-Exploitation-Ketten macht sie jedoch zu einem hochprioritären Ziel.
Angriffsfläche: Die Ausnutzung erfordert lokalen Zugriff und niedrige Privilegien (Standardbenutzer). Die Schwachstelle betrifft den Umgang des Windows-Kernels mit dem SuperFetch-Dienst (SysMain), der standardmäßig auf betroffenen Windows-Versionen aktiviert ist.
KEV-Frist: Die CISA-Behebungsfrist war der 2021-11-17.
Behebung
- Das Juni-2021-Microsoft-Sicherheitsupdate umgehend anwenden. Wenden Sie Updates gemäß den Anweisungen des Herstellers an. Konsultieren Sie das Microsoft Security Advisory unter MSRC für spezifische Patch-Informationen.
- CVE-2021-31956 parallel zu dieser Schwachstelle patchen. Diese beiden Schwachstellen wurden in der Praxis zusammen ausgenutzt. Patchen Sie beide gleichzeitig, um die vollständige Angriffskette zu schließen.
- Alle betroffenen Windows-Systeme als aktualisiert verifizieren. Identifizieren Sie alle Instanzen von Windows 10 (1809, 1909, 2004, 20H2, 21H1), Windows Server 2019, Windows Server 2004 und Windows Server 20H2 in Ihrer Umgebung.
- Auf Exploitation-Chain-Indikatoren überwachen. Achten Sie auf verdächtige Muster, einschließlich Chrome-Exploitation gefolgt von lokaler Privilegieneskalation, ungewöhnlicher Kernel-Informationszugriffsmuster und Indikatoren des PuzzleMaker-Bedrohungsakteurs.
- Defense-in-Depth-Maßnahmen implementieren. Stellen Sie sicher, dass alle Sicherheitsmaßnahmen aktiviert sind (ASLR, DEP, CFG), setzen Sie Endpoint Detection and Response ein und beschränken Sie unnötige lokale Ausführungsrechte.
- Browser-Sicherheitskonfigurationen überprüfen. Da diese Schwachstelle Teil einer Kette war, die mit Browser-Exploitation begann, stellen Sie sicher, dass Browser aktualisiert sind und erwägen Sie Browser-Isolation für Hochrisiko-Benutzer.
Technische Details
Angriffsvektor: LOCAL
Angriffskomplexität: Niedrig
Erforderliche Rechte: Niedrig (Standardbenutzer)
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle besteht in der Interaktion des Windows-Kernels mit dem SuperFetch-Dienst (SysMain). Der Kernel legt unsachgemäß Extended Translation Lookaside Buffer (ETLB)-Informationen offen, einschließlich Kernelspeicher-Adressen, an Benutzermodus-Prozesse durch den NtQuerySystemInformation-Systemaufruf. Durch Abfrage spezifischer Systeminformationsklassen kann ein lokaler Angreifer Kernelmodus-Virtualadressen erhalten, die den Speicherort von Kernel-Datenstrukturen im Speicher offenlegen. Diese Informationen umgehen ASLR und ermöglichen präzise Ausrichtung auf Kernel-Objekte für nachfolgende Privilegieneskalations-Exploits.
Betroffene Produkte: Microsoft Windows 10 (Versionen 1809, 1909, 2004, 20H2, 21H1), Windows Server 2019, Windows Server 2004, Windows Server 20H2
CVSS-3.1-Bewertung: Der Score von 5.5 (MITTEL) reflektiert einen lokalen Angriffsvektor, niedrige Komplexität, niedrige erforderliche Rechte, keine Benutzerinteraktion, hohe Vertraulichkeitsauswirkung und keine Integritäts- oder Verfügbarkeitsauswirkung.
Häufig gestellte Fragen
Wird CVE-2021-31955 aktiv ausgenutzt?
Ja, CVE-2021-31955 wurde vor dem Juni-2021-Patch als Zero-Day vom PuzzleMaker-Bedrohungsakteur ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet und hat einen EPSS-Score von 0.04647 (89,15. Perzentile). Sie wurde in Kombination mit einem Chrome-Zero-Day und CVE-2021-31956 für vollständige Systemkompromittierung eingesetzt.
Welche Produkte sind von CVE-2021-31955 betroffen?
Betroffen sind Microsoft Windows 10 (Versionen 1809, 1909, 2004, 20H2 und 21H1), Windows Server 2019, Windows Server 2004 und Windows Server 20H2. Die Schwachstelle betrifft die SuperFetch-Dienst-Interaktion (SysMain) des Kernels.
Wie behebe ich CVE-2021-31955?
Wenden Sie das Juni-2021-Microsoft-Sicherheitsupdate von MSRC an. Patchen Sie diese Schwachstelle zusammen mit CVE-2021-31956, da beide in der Praxis zusammen ausgenutzt wurden. Verifizieren Sie alle betroffenen Windows-Versionen mittels Schwachstellen-Scanner.
Wie schwerwiegend ist CVE-2021-31955?
CVE-2021-31955 ist mit einem CVSS-Score von 5.5 als MITTEL eingestuft. Obwohl der CVSS-Score nur die Informationsoffenlegung widerspiegelt, ist die reale Schwere höher, da diese Schwachstelle als Teil einer Zero-Day-Exploitation-Kette für vollständige Systemkompromittierung verwendet wurde. Der EPSS-Score von 0.04647 (89,15. Perzentile) belegt signifikante Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.