CVE-2021-38646
Microsoft Office Access Connectivity Engine Remote Code Execution Vulnerability
Beschreibung
CVE-2021-38646 ist eine Remote-Code-Execution-Schwachstelle in Microsoft Office, die es einem Angreifer ermöglicht, beliebigen Code auf dem System eines Opfers auszuführen, wenn der Benutzer ein speziell gestaltetes Office-Dokument öffnet. Die Schwachstelle erfordert eine Benutzerinteraktion in Form des Öffnens eines bösartigen Dokuments, das per E-Mail, Web-Download oder Dateifreigabe übermittelt werden kann. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 2,9 % (91,3. Perzentil) wurde diese Schwachstelle in gezielten Angriffen eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | 365 apps | - |
| microsoft | office | 2013 |
| microsoft | office 2016 | - |
| microsoft | office 2019 | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38646(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-38646(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-38646(US Government Resource)
Schwachstellentyp
CWE-94: Unzureichende Kontrolle der Codegenerierung ('Code Injection')
Code Injection tritt auf, wenn eine Anwendung nicht vertrauenswürdige Daten so verarbeitet, dass die Einschleusung und Ausführung beliebigen Codes ermöglicht wird. Bei CVE-2021-38646 löst speziell gestalteter Office-Dokumentinhalt einen Codeausführungspfad in Microsoft Office aus, der Angreifern die Ausführung beliebigen Codes beim Öffnen des Dokuments ermöglicht. Weitere Details unter CWE-94.
Auswirkungsanalyse
Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, beliebigen Code mit den Privilegien des Benutzers auszuführen, der das bösartige Dokument öffnet. Wenn der Benutzer Administratorprivilegien hat, erlangt der Angreifer vollständige Systemkontrolle. Selbst mit Standard-Benutzerberechtigungen kann der Angreifer auf die Dateien, E-Mails und Netzwerkressourcen des Benutzers zugreifen. Office-dokumentbasierte Angriffe sind in Geschäftsumgebungen besonders effektiv, in denen das Teilen von Dokumenten Routine ist und Benutzer es gewohnt sind, Dokumente von Kollegen, Partnern und Kunden zu öffnen. Der Social-Engineering-Aspekt der Übermittlung eines bösartigen Dokuments durch legitim aussehende E-Mails macht diesen Angriffsvektor für gezielte Eindringversuche besonders zuverlässig.
Exploit-Reifegrad
CVE-2021-38646 wurde am 28. März 2022 in den CISA-KEV-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Der EPSS-Score von 2,9 % (91,3. Perzentil) deutet auf aktive, aber hauptsächlich gezielte Ausnutzung hin, konsistent mit Spear-Phishing-Kampagnen. Microsoft Office-Schwachstellen gehören konstant zu den beliebtesten Angriffsvektoren für gezielte Eindringoperationen, da sie zuverlässige Ausnutzung mit der hohen Wahrscheinlichkeit kombinieren, dass Ziele Dokumentanhänge öffnen. Die Ausnutzung erfordert Benutzerinteraktion (Öffnen eines Dokuments), was die Massenausnutzung einschränkt, aber in gezielten Szenarien hochwirksam ist.
Behebung
- Wenden Sie das Microsoft Office-Sicherheitsupdate vom September 2021 an, das diese Schwachstelle behebt, wie vom CISA-KEV-Katalog gefordert.
- Aktivieren Sie die geschützte Ansicht in Microsoft Office, um Dokumente aus nicht vertrauenswürdigen Quellen in einem sandboxierten Nur-Lese-Modus zu öffnen.
- Implementieren Sie E-Mail-Sicherheitslösungen, die Anhänge vor der Zustellung an Endbenutzer auf bösartige Inhalte scannen.
- Schulen Sie Benutzer, beim Öffnen von Dokumenten aus unbekannten oder unerwarteten Quellen Vorsicht walten zu lassen, selbst wenn sie von vertrauenswürdigen Kontakten zu stammen scheinen.
- Setzen Sie Anwendungskontrollrichtlinien ein, die die Makroausführung und aktive Inhalte in Office-Dokumenten aus externen Quellen einschränken.
Technische Details
Die Schwachstelle existiert in der Art, wie Microsoft Office bestimmte Inhaltselemente innerhalb von Office-Dokumenten verarbeitet. Wenn ein Benutzer ein speziell gestaltetes Dokument öffnet, löst der bösartige Inhalt eine Codeausführungs-Schwachstelle in der Dokumenten-Parsing-Logik der Office-Anwendung aus. Der Angreifer konstruiert das Dokument so, dass es spezifische Parsing-Verhaltensweisen ausnutzt, die das Überschreiben von Speicher oder das Umleiten des Ausführungsflusses ermöglichen. Die resultierende Codeausführung erfolgt im Kontext des Office-Anwendungsprozesses mit den gleichen Privilegien wie der Benutzer. Der Angriff erfordert speziell eine Benutzerinteraktion in Form des Öffnens des bösartigen Dokuments, wobei über das Öffnen der Datei hinaus keine zusätzlichen Aktionen erforderlich sind, um den Exploit auszulösen.
Häufig gestellte Fragen
Was ist CVE-2021-38646?
CVE-2021-38646 ist eine Remote-Code-Execution-Schwachstelle in Microsoft Office. Wenn ein Benutzer ein speziell gestaltetes bösartiges Dokument öffnet, kann beliebiger Code auf seinem System mit den Privilegien des Benutzers ausgeführt werden.
Welche Office-Produkte sind betroffen?
Die Schwachstelle betrifft mehrere Versionen von Microsoft Office, einschließlich Office 2019 und Microsoft 365 Apps. Prüfen Sie Microsofts Sicherheitshinweis für die vollständige Liste der betroffenen Produkte und Versionen.
Kann dies automatisch ausgelöst werden?
Nein, die Schwachstelle erfordert eine Benutzerinteraktion. Das Opfer muss ein bösartiges Dokument öffnen, damit der Exploit ausgelöst wird. Angreifer verwenden jedoch häufig Social Engineering durch Spear-Phishing-E-Mails, um Ziele zum Öffnen bösartiger Anhänge zu bewegen.
Verhindert die geschützte Ansicht die Ausnutzung?
Die geschützte Ansicht bietet eine zusätzliche Verteidigungsschicht, indem sie Dokumente aus nicht vertrauenswürdigen Quellen in einem sandboxierten Nur-Lese-Modus öffnet. Wenn ein Benutzer jedoch auf "Bearbeitung aktivieren" klickt, um die geschützte Ansicht zu verlassen, kann die Ausnutzung fortgesetzt werden. Benutzer sollten beim Verlassen der geschützten Ansicht für Dokumente aus nicht vertrauenswürdigen Quellen vorsichtig sein.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.