CVE-2021-36955
Microsoft Windows Common Log File System (CLFS) Driver Privilege Escalation Vulnerability
Beschreibung
CVE-2021-36955 ist eine hochgradige Privilegien-Eskalations-Schwachstelle im Microsoft Windows Common Log File System (CLFS) Treiber. Der CLFS-Treiber enthaelt einen nicht naeher spezifizierten Fehler, der es einem lokalen Angreifer mit niedrigen Berechtigungen ermoeglicht, hoehere Systemprivilegien zu erlangen. CISA hat CVE-2021-36955 in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was eine aktive Ausnutzung bestaetigt. Diese Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 20,64 % (95,5. Perzentil) ist die Ausnutzungswahrscheinlichkeit sehr hoch, weshalb eine sofortige Behebung fuer alle betroffenen Windows-Installationen unabdingbar ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19060 |
| microsoft | windows 10 1607 | < 10.0.14393.4651 |
| microsoft | windows 10 1809 | < 10.0.17763.2183 |
| microsoft | windows 10 1909 | < 10.0.18363.1801 |
| microsoft | windows 10 2004 | < 10.0.19041.1237 |
| microsoft | windows 10 20h2 | < 10.0.19042.1237 |
| microsoft | windows 10 21h1 | < 10.0.19043.1237 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2004 | < 10.0.19041.1237 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | - |
| microsoft | windows server 2016 | < 10.0.14393.4651 |
| microsoft | windows server 2019 | < 10.0.17763.2183 |
| microsoft | windows server 2022 | < 10.0.20348.230 |
| microsoft | windows server 20h2 | < 10.0.19042.1237 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36955(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-36955(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-36955(US Government Resource)
Schwachstellentyp
Privilegien-Eskalation ueber CLFS-Treiber
Der Windows Common Log File System (CLFS) Treiber enthaelt eine nicht naeher spezifizierte Schwachstelle, die eine Privilegien-Eskalation ermoeglicht. Der CLFS-Treiber ist eine Kernel-Modus-Komponente, die fuer die Verwaltung von Transaktionsprotokolldateien verantwortlich ist. Fehler in seiner Verarbeitungslogik koennen von Angreifern genutzt werden, um Code mit erhoehten Berechtigungen auszufuehren und potenziell vollstaendigen SYSTEM-Zugriff zu erlangen.
Mehr erfahren: CVE-2021-36955 — NVD-Detail
Auswirkungsanalyse
CVE-2021-36955 hat einen CVSS-3.1-Score von 7,8 (HOCH), was eine ernste Bedrohung fuer Windows-Infrastrukturen darstellt. Die Schwachstelle ist lokal mit geringer Angriffskomplexitaet ausnutzbar, erfordert nur niedrige Berechtigungen und keine Benutzerinteraktion, was sie fuer jeden authentifizierten Angreifer auf dem System leicht zugaenglich macht. Eine erfolgreiche Ausnutzung fuehrt zur vollstaendigen Kompromittierung von Vertraulichkeit, Integritaet und Verfuegbarkeit, da der Angreifer erhoehte Privilegien ueber den Kernel-Modus-CLFS-Treiber erlangt. Diese Schwachstelle wird nachweislich in Ransomware-Operationen eingesetzt, was ihre reale Bedrohungsstufe erheblich erhoeht. Der EPSS-Score von 20,64 % (95,5. Perzentil) weist auf eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung hin und platziert CVE-2021-36955 unter den Top 5 % aller CVEs mit der hoechsten Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2021-36955 in freier Wildbahn durch die Aufnahme in den Katalog der bekannten ausgenutzten Schwachstellen bestaetigt, mit einer Behebungsfrist bis zum 17.11.2021, die laengst abgelaufen ist. Diese Schwachstelle wird nachweislich von Ransomware-Betreibern ausgenutzt, was sie zu einer kritischen Prioritaet fuer Verteidigungsteams macht. Der EPSS-Score von 20,64 % (95,5. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an. Obwohl in den verfuegbaren Referenzen kein spezifischer oeffentlicher Exploit-Code identifiziert wurde, belegen die bestaetigte aktive Ausnutzung und die Ransomware-Assoziation, dass funktionierende Exploits aktiv in den Werkzeugkits von Bedrohungsakteuren zirkulieren.
Behebung
- Microsoft-Sicherheitsupdates umgehend anwenden, wie von CISA KEV gefordert. Der Patch wurde im Rahmen des September-2021-Patch-Tuesday veroeffentlicht und behebt die Privilegien-Eskalation im CLFS-Treiber.
- Sicherstellen, dass alle betroffenen Windows-Versionen auf die gepatchten Builds aktualisiert sind, einschliesslich: Windows 10 1507 (Build 10.0.10240.19060+), Windows 10 1607 (Build 10.0.14393.4651+), Windows 10 1809 (Build 10.0.17763.2183+), Windows 10 1909 (Build 10.0.18363.1801+), Windows 10 2004/20H2/21H1 (Build 10.0.19041.1237+), Windows 7, Windows 8.1, Windows Server 2008/R2, Server 2012, Server 2016, Server 2019 und Server 2022.
- Aufgrund der Ransomware-Assoziation Netzwerksegmentierung priorisieren, um kritische Assets zu isolieren, und sicherstellen, dass Offline-Backups aktuell und getestet sind. Anwendungskontrollrichtlinien implementieren, um nicht autorisierte ausfuehrbare Dateien einzuschraenken.
- Endpoint-Detection-and-Response-Loesungen (EDR) einsetzen, die CLFS-Treiber-Ausnutzungsmuster und Privilegien-Eskalationsversuche erkennen koennen. Auf ungewoehnliche SYSTEM-Prozesserstellung aus Benutzerkontextprozessen ueberwachen.
- Proaktives Threat Hunting auf betroffenen Systemen durchfuehren, um festzustellen, ob die Schwachstelle vor der Aktualisierung ausgenutzt wurde. Nach Indikatoren fuer Ransomware-Bereitstellung, laterale Bewegung und Datenexfiltration suchen.
Technische Details
CVE-2021-36955 betrifft den Windows Common Log File System (CLFS) Treiber, eine Kernel-Modus-Komponente, die fuer die Verwaltung hochperformanter Transaktionsprotokolldateien verantwortlich ist, die von Anwendungen wie Active Directory, SQL Server und dem Windows Transaction Manager verwendet werden. Die Schwachstelle ermoeglicht es einem lokalen Angreifer mit niedrigen Berechtigungen, durch Ausnutzung der Verarbeitungslogik des CLFS-Treibers hoehere Systemprivilegien zu erlangen. Der CVSS-Vektor (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) bestaetigt, dass der Angriff lokalen Zugriff mit niedrigen Berechtigungen erfordert, eine geringe Komplexitaet aufweist und keine Benutzerinteraktion benoetigt. Der Scope ist unveraendert, was bedeutet, dass die Ausnutzung innerhalb der Privilegiengrenze des Kernel-Treibers bleibt, aber da der CLFS-Treiber im Kernel-Modus operiert, gewaehrt eine erfolgreiche Ausnutzung effektiv SYSTEM-Privilegien mit vollstaendiger Kontrolle ueber den betroffenen Host.
Häufig gestellte Fragen
Wird CVE-2021-36955 aktiv ausgenutzt?
Ja. CVE-2021-36955 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgefuehrt, was eine aktive Ausnutzung in freier Wildbahn bestaetigt. Zusaetzlich wird diese Schwachstelle nachweislich in Ransomware-Kampagnen eingesetzt, und der EPSS-Score von 20,64 % (95,5. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind betroffen?
CVE-2021-36955 betrifft eine breite Palette von Microsoft-Windows-Versionen, darunter Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Versionen 1507, 1607, 1809, 1909, 2004, 20H2, 21H1), Windows Server 2004, Server 2008/R2, Server 2012, Server 2016, Server 2019, Server 2022 und Server 20H2.
Wie behebe ich CVE-2021-36955?
Die September-2021-Patch-Tuesday-Updates von Microsoft umgehend anwenden. Aufgrund der Ransomware-Assoziation zudem sicherstellen, dass Offline-Backups aktuell sind, Netzwerksegmentierung implementieren und EDR-Loesungen zur Ueberwachung von Ausnutzungsversuchen einsetzen.
Wie schwerwiegend ist CVE-2021-36955?
CVE-2021-36955 hat einen CVSS-3.1-Score von 7,8 (HOCH). Die Assoziation mit Ransomware-Kampagnen und der sehr hohe EPSS-Score von 20,64 % (95,5. Perzentil) machen die Behebung zu einer kritischen Prioritaet, trotz der HOCH- statt KRITISCH-Einstufung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.