CVE-2021-34484
Microsoft Windows User Profile Service Privilege Escalation Vulnerability
Beschreibung
CVE-2021-34484 ist eine Privilegieneskalations-Schwachstelle im Microsoft Windows User Profile Service, die es einem lokal authentifizierten Angreifer ermöglicht, Privilegien auf SYSTEM-Ebene zu erhöhen. Die Schwachstelle wurde zunächst von Microsoft gepatcht, aber der Fix wurde als unvollständig befunden, was eine Umgehung des ursprünglichen Patches ermöglichte. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 4,5 % (93. Perzentil) stellt diese Schwachstelle ein erhebliches Post-Compromise-Eskalationsrisiko dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19022 |
| microsoft | windows 10 1607 | < 10.0.14393.4583 |
| microsoft | windows 10 1809 | < 10.0.17763.2114 |
| microsoft | windows 10 1909 | < 10.0.18363.1734 |
| microsoft | windows 10 2004 | < 10.0.19041.1165 |
| microsoft | windows 10 20h2 | < 10.0.19042.1165 |
| microsoft | windows 10 21h1 | < 10.0.19043.1165 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2004 | < 10.0.19041.1165 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4583 |
| microsoft | windows server 2019 | < 10.0.17763.2114 |
| microsoft | windows server 20h2 | < 10.0.19042.1165 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34484(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-34484(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-34484(US Government Resource)
Schwachstellentyp
CWE-269: Unzureichendes Privilegienmanagement
Unzureichendes Privilegienmanagement tritt auf, wenn eine Anwendung Privilegien für einen Akteur nicht ordnungsgemäß zuweist, ändert, verfolgt oder überprüft, wodurch der Akteur unbefugten Zugriff auf Ressourcen erlangen kann. Bei CVE-2021-34484 verarbeitet der Windows User Profile Service Directory-Junction-Operationen unsachgemäß, was authentifizierten Benutzern die Eskalation auf SYSTEM-Privilegien ermöglicht. Weitere Details unter CWE-269.
Auswirkungsanalyse
Eine erfolgreiche Ausnutzung ermöglicht es einem standardmäßig authentifizierten Benutzer, Privilegien auf SYSTEM zu eskalieren, die höchste Privilegienstufe auf Windows-Systemen. SYSTEM-Level-Zugriff gewährt vollständige Kontrolle über das Betriebssystem, einschließlich der Möglichkeit, Software zu installieren, auf alle Dateien zuzugreifen, Sicherheitseinstellungen zu ändern und neue Administratorkonten zu erstellen. Diese Schwachstelle ist besonders wertvoll in Angriffsketten, in denen ein Angreifer initialen Zugang mit begrenzten Privilegien erlangt hat und für die vollständige Systemkontrolle eskalieren muss. Die Tatsache, dass der ursprüngliche Patch umgangen wurde, unterstreicht die Komplexität des zugrundeliegenden Problems und die Persistenz des Risikos.
Exploit-Reifegrad
CVE-2021-34484 wurde am 31. März 2022 in den CISA-KEV-Katalog aufgenommen. Der EPSS-Score von 4,5 % (93. Perzentil) spiegelt aktive, aber gezieltere Ausnutzung im Vergleich zu remote ausnutzbaren Schwachstellen wider. Die Schwachstelle erhielt zusätzliche Aufmerksamkeit, als ein Sicherheitsforscher demonstrierte, dass Microsofts ursprünglicher August-2021-Patch umgangen werden konnte, was zu zusätzlichen Patches führte. Öffentlicher Exploit-Code ist verfügbar, was diese Schwachstelle für Post-Compromise-Privilegieneskalation zugänglich macht.
Behebung
- Wenden Sie alle Windows-Sicherheitsupdates an, einschließlich der Patches, die sowohl die ursprüngliche Schwachstelle als auch die Patch-Umgehung adressieren, wie vom CISA-KEV-Katalog gefordert.
- Überwachen Sie nachfolgende Updates zu CVE-2021-34484 und wenden Sie diese an, da Microsoft mehrere Fixes zur Adressierung von Umgehungstechniken veröffentlicht hat.
- Implementieren Sie Endpoint-Detection-and-Response-Lösungen (EDR), die Privilegieneskalationsversuche durch User Profile Service-Ausnutzung erkennen können.
- Wenden Sie das Prinzip der geringsten Privilegien an und stellen Sie sicher, dass Benutzer mit den minimal notwendigen Berechtigungen arbeiten, um die Auswirkung einer Privilegieneskalation zu reduzieren.
- Aktivieren Sie Windows-Sicherheitsaudit-Richtlinien, um Privilegieneskalationsereignisse und User Profile Service-Operationen für forensische Analysen zu protokollieren.
Technische Details
Die Schwachstelle nutzt eine Race Condition im Windows User Profile Service (ProfSvc) während der Verarbeitung temporärer Benutzerprofil-Operationen aus. Wenn ein Benutzerprofil erstellt oder geladen wird, führt der Dienst Operationen an Verzeichnissen mit SYSTEM-Privilegien durch. Durch das Erstellen einer zeitlich präzisen Directory Junction (symbolischer Link) während dieses Prozesses kann ein Angreifer die Dateioperationen des Dienstes an beliebige Orte umleiten. Dies ermöglicht das Überschreiben oder Erstellen von Dateien in systemgeschützten Verzeichnissen mit SYSTEM-Level-Berechtigungen. Der ursprüngliche Microsoft-Patch versuchte, den Junction-basierten Angriff zu blockieren, adressierte aber nicht alle Ausnutzungspfade vollständig, wodurch Forscher Umgehungstechniken fanden, die die gleiche Privilegieneskalation über leicht modifizierte Angriffsvektoren erreichten.
Häufig gestellte Fragen
Was ist CVE-2021-34484?
CVE-2021-34484 ist eine Privilegieneskalations-Schwachstelle im Windows User Profile Service, die authentifizierten lokalen Benutzern ermöglicht, auf SYSTEM-Privilegien zu eskalieren, indem sie eine Race Condition in der Verarbeitung von Verzeichnisoperationen durch den Dienst ausnutzen.
Warum wurde diese Schwachstelle mehrfach gepatcht?
Microsofts ursprünglicher Patch im August 2021 adressierte die Schwachstelle nicht vollständig. Sicherheitsforscher fanden heraus, dass der Fix mit modifizierten Techniken umgangen werden konnte, die weiterhin das gleiche zugrundeliegende Problem ausnutzten. Microsoft veröffentlichte zusätzliche Patches, um diese Umgehungen zu adressieren.
Kann dies remote ausgenutzt werden?
Nein, diese Schwachstelle erfordert lokal authentifizierten Zugriff auf das System. Ein Angreifer muss zunächst über andere Mittel Zugang zu einem Standard-Benutzerkonto erlangen, bevor er diese Schwachstelle zur Privilegieneskalation ausnutzen kann.
Was ist das typische Angriffsszenario?
Ein Angreifer erlangt zunächst Zugang zu einem System durch Phishing, Credential-Diebstahl oder eine andere Schwachstelle. Sobald er eine Standard-Benutzersitzung hat, nutzt er CVE-2021-34484 aus, um auf SYSTEM-Privilegien zu eskalieren, was ihm vollständige Kontrolle über das System für Datendiebstahl, laterale Bewegung oder Persistenz gibt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.