CVE-2021-31979
Microsoft Windows Kernel Privilege Escalation Vulnerability
Beschreibung
CVE-2021-31979 ist eine schwerwiegende Privilege-Escalation-Schwachstelle im Microsoft Windows Kernel mit einem CVSS-3.1-Score von 7.8. Der Windows-Kernel enthält eine unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers, die einem lokalen Angreifer mit niedrigen Rechten die Eskalation zu Kernel-Ausführung ermöglicht. Die Schwachstelle betrifft zahlreiche Windows-Versionen einschließlich Windows 7, Windows 8.1, Windows 10 (mehrere Builds), Windows Server 2008 bis 2019 und Windows Server 20H2. CVE-2021-31979 ist im CISA Known Exploited Vulnerabilities (KEV) Katalog mit einer Behebungsfrist bis zum 2021-11-17 gelistet. Der EPSS-Score von 0.12465 (93,80. Perzentile) deutet auf eine erhebliche Ausnutzungswahrscheinlichkeit hin und macht sofortiges Patching unverzichtbar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19003 |
| microsoft | windows 10 1607 | < 10.0.14393.4530 |
| microsoft | windows 10 1809 | < 10.0.17763.2061 |
| microsoft | windows 10 1909 | < 10.0.18363.1679 |
| microsoft | windows 10 2004 | < 10.0.19041.1110 |
| microsoft | windows 10 20h2 | < 10.0.19042.1110 |
| microsoft | windows 10 21h1 | < 10.0.19043.1110 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2004 | < 10.0.19041.1110 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4530 |
| microsoft | windows server 2019 | < 10.0.17763.2061 |
| microsoft | windows server 20h2 | < 10.0.19042.1110 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31979(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-31979(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-31979(US Government Resource)
Schwachstellentyp
CWE-119: Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
CVE-2021-31979 wird unter CWE-119 klassifiziert — Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers. Diese Schwachstelle tritt auf, wenn Software Operationen auf einem Speicherpuffer durchführt, ohne die Größe oder Grenzen dieser Operationen ordnungsgemäß einzuschränken. Wenn Lese- oder Schreiboperationen die Grenzen des zugewiesenen Puffers überschreiten, können benachbarte Speicherbereiche korrumpiert werden, was zu Abstürzen, Datenverfälschung oder beliebiger Codeausführung führt.
Im Kontext des Windows-Kernels ist diese Schwachstelle besonders gefährlich, da Kernel-Pufferverletzungen Angreifern ermöglichen, kritische Kernel-Datenstrukturen zu überschreiben, Sicherheitsmechanismen wie SMEP und KASLR zu umgehen und eine vollständige Systemkompromittierung zu erreichen. Kernel-Speicherkorruptionsschwachstellen sind bei Exploit-Entwicklern für den Aufbau zuverlässiger lokaler Privilege-Escalation-Ketten besonders begehrt.
Mehr erfahren: CWE-119 — Unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers
Auswirkungsanalyse
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt dem Angreifer vollen Lesezugriff auf den Kernel-Speicher und ermöglicht die Extraktion sensibler Zugangsdaten, Verschlüsselungsschlüssel und Sicherheits-Token aus dem Kernel-Speicherbereich.
Integrität (HIGH): Ein Angreifer, der Kernel-Codeausführung erreicht, kann beliebige Systemdaten modifizieren, Rootkits installieren, Sicherheitskontrollen manipulieren und Audit-Logs ändern, um seine Spuren zu verwischen.
Verfügbarkeit (HIGH): Die Ausnutzung kann Systeminstabilität, Bluescreens oder vollständige Dienstverweigerung verursachen. Ein Angreifer auf Kernel-Ebene kann außerdem Prozesse beenden und Dienste nach Belieben deaktivieren.
Scope: Der Scope ist Unchanged (U), was bedeutet, dass die Auswirkungen auf den Windows-Kernel und seine direkt verwalteten Ressourcen beschränkt sind. Da der Kernel jedoch das gesamte Betriebssystem kontrolliert, sind die praktischen Auswirkungen systemweit.
Mit einem EPSS-Score von 0.12465 (93,80. Perzentile) hat diese Schwachstelle eine hohe Wahrscheinlichkeit, in realen Angriffen ausgenutzt zu werden.
Exploit-Reifegrad
Exploit-Status: CVE-2021-31979 wird aktiv in der Praxis ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Der EPSS-Score von 0.12465 (93,80. Perzentile) spiegelt erhebliche reale Ausnutzungsaktivität wider.
Ransomware-Bezug: Für CVE-2021-31979 wurde laut KEV-Daten kein direkter Ransomware-Zusammenhang bestätigt. Privilege-Escalation-Schwachstellen im Windows-Kernel werden jedoch häufig in Angriffsketten verwendet, die einer Ransomware-Bereitstellung vorausgehen.
Angriffsfläche: Als lokale Privilege-Escalation erfordert diese Schwachstelle, dass ein Angreifer bereits Codeausführung auf dem Zielsystem hat. Sie wird üblicherweise mit Remote-Code-Execution-Schwachstellen oder Phishing-Angriffen verkettet, um vollständige Systemkompromittierung zu erreichen.
KEV-Frist: Die CISA-Behebungsfrist war der 2021-11-17. Alle Organisationen sollten dies als dringende Priorität behandeln.
Behebung
- Microsoft-Sicherheitsupdates umgehend anwenden. Installieren Sie die Juli-2021-Patch-Tuesday-Updates gemäß Microsofts Advisory unter portal.msrc.microsoft.com. Priorisieren Sie alle betroffenen Windows-Systeme.
- Betroffene Systeme inventarisieren. Identifizieren Sie alle Windows 7, 8.1, 10, Server 2008, 2012, 2016, 2019 und 20H2-Systeme in Ihrer Umgebung. Nutzen Sie Asset-Management und Schwachstellen-Scanner für vollständige Abdeckung.
- Defense-in-Depth-Maßnahmen umsetzen. Beschränken Sie lokalen Zugriff auf sensible Systeme, erzwingen Sie Least-Privilege-Prinzipien und setzen Sie Application-Control-Richtlinien ein, um die Ausführung nicht autorisierter Programme zu begrenzen.
- Auf Ausnutzungsindikatoren überwachen. Prüfen Sie Systemereignisprotokolle auf verdächtige Kernel-Mode-Aktivität, unerwartete Rechteeskalationen und anomales Prozessverhalten.
- Endpoint-Detection-Tools aktualisieren. Stellen Sie sicher, dass EDR- und Antivirus-Lösungen aktuelle Signaturen haben, die Ausnutzungstechniken im Zusammenhang mit CVE-2021-31979 erkennen können.
- End-of-Life-Systeme priorisieren. Windows 7 und Server 2008 erhalten keine regulären Updates mehr. Planen Sie die Migration auf unterstützte Betriebssystemversionen als langfristige Mitigationsstrategie.
Technische Details
Angriffsvektor: LOCAL
Angriffskomplexität: Niedrig
Erforderliche Rechte: Niedrig
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle besteht aufgrund einer unsachgemäßen Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers im Windows-Kernel. Ein Angreifer mit lokalem Zugriff und niedrigen Rechten kann eine Puffergrenzverletzung im Kernel-Speicher auslösen und benachbarte Datenstrukturen korrumpieren. Durch sorgfältige Kontrolle des Überlaufs kann ein Angreifer Kernel-Objekte überschreiben, um den Ausführungsfluss umzuleiten und von einem Standardbenutzer zu SYSTEM-Rechten zu eskalieren.
Schwachstellenmechanismus: CWE-119 beschreibt die unsachgemäße Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers. Im Windows-Kernel kann dies zur Korruption kritischer Datenstrukturen führen, was Angreifern die Umgehung von Sicherheitsmechanismen und die Erlangung vollständiger Systemkontrolle ermöglicht.
Betroffene Produkte: Windows 10 (1507 bis 21H1), Windows 7, Windows 8.1, Windows RT 8.1, Windows Server 2004, 2008, 2012, 2016, 2019 und 20H2.
CVSS-3.1-Bewertung: Der Score von 7.8 (HOCH) reflektiert den lokalen Angriffsvektor mit niedriger Komplexität und niedrigen Rechtevoraussetzungen bei hohen Auswirkungen auf alle drei CIA-Dimensionen.
Häufig gestellte Fragen
Wird CVE-2021-31979 aktiv ausgenutzt?
Ja, CVE-2021-31979 wird aktiv in der Praxis ausgenutzt. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities (KEV) Katalog mit einer Behebungsfrist bis zum 2021-11-17 gelistet. Der EPSS-Score von 0.12465 (93,80. Perzentile) bestätigt erhebliche reale Ausnutzungsaktivität.
Welche Produkte sind von CVE-2021-31979 betroffen?
CVE-2021-31979 betrifft zahlreiche Microsoft-Windows-Produkte einschließlich Windows 7, Windows 8.1, Windows 10 (Builds 1507 bis 21H1), Windows RT 8.1 und mehrere Windows-Server-Versionen (2004, 2008, 2012, 2016, 2019, 20H2). Organisationen sollten alle Windows-Systeme inventarisieren und das Patching priorisieren.
Wie behebe ich CVE-2021-31979?
Wenden Sie die Juli-2021-Sicherheitsupdates von Microsoft an. Konsultieren Sie das offizielle Advisory für versionsspezifische Patches. Für Systeme, die nicht sofort gepatcht werden können, beschränken Sie den lokalen Zugriff, erzwingen Sie Least-Privilege und implementieren Sie erweitertes Monitoring auf verdächtige Kernel-Aktivität.
Wie schwerwiegend ist CVE-2021-31979?
CVE-2021-31979 ist mit einem CVSS-Score von 7.8 als HOCH eingestuft. Die Schwachstelle ermöglicht lokale Rechteeskalation auf Kernel-Ebene und gibt Angreifern vollständige Kontrolle über das betroffene System. Obwohl lokaler Zugriff erforderlich ist, wird sie häufig mit Remote-Access-Exploits für vollständige Kompromittierung verkettet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.