CVE-2021-40444
Microsoft MSHTML Remote Code Execution Vulnerability
Beschreibung
CVE-2021-40444 ist eine schwerwiegende Remote-Code-Execution-Schwachstelle in Microsoft MSHTML, der Browser-Rendering-Engine, die von Microsoft-Office-Anwendungen verwendet wird. Ein Angreifer kann diese Path-Traversal-Schwachstelle ausnutzen, indem er ein bösartiges ActiveX-Steuerelement in ein speziell präpariertes Microsoft-Office-Dokument einbettet. Wenn ein Opfer dieses Dokument öffnet, ermöglicht dies die Ausführung von beliebigem Code auf dem Zielsystem. Die CISA hat diese Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen, was die aktive Ausnutzung in freier Wildbahn bestätigt, und sie wurde nachweislich in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 94,33 % (99,95. Perzentil) stellt CVE-2021-40444 eine nahezu sichere Bedrohung durch Ausnutzung dar und erfordert sofortige Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19060 |
| microsoft | windows 10 1607 | < 10.0.14393.4651 |
| microsoft | windows 10 1809 | < 10.0.17763.2183 |
| microsoft | windows 10 1909 | < 10.0.18363.1801 |
| microsoft | windows 10 2004 | < 10.0.19041.1237 |
| microsoft | windows 10 20h2 | < 10.0.19042.1237 |
| microsoft | windows 10 21h1 | < 10.0.19043.1237 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2004 | < 10.0.19041.1237 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | - |
| microsoft | windows server 2016 | < 10.0.14393.4651 |
| microsoft | windows server 2019 | < 10.0.17763.2183 |
| microsoft | windows server 2022 | < 10.0.20348.230 |
| microsoft | windows server 20h2 | < 10.0.19042.1237 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:L
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/164210/Microsoft-Windows-MSHTML-Overview.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/165214/Microsoft-Office-Word-MSHTML-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167317/Microsoft-Office-MSDT-Follina-Proof-Of-Concept.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-40444(Mitigation, Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-40444(US Government Resource)
Schwachstellentyp
CWE-22: Unzureichende Einschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Path-Traversal-Schwachstellen treten auf, wenn Software externe Eingaben verwendet, um einen Pfadnamen zu konstruieren, der eine Datei oder ein Verzeichnis innerhalb eines eingeschränkten übergeordneten Verzeichnisses identifizieren soll, aber spezielle Elemente nicht ordnungsgemäß neutralisiert, die dazu führen können, dass der Pfadname außerhalb dieses Verzeichnisses aufgelöst wird. Im Kontext von CVE-2021-40444 manifestiert sich diese Schwäche in der MSHTML-Komponente, wodurch ein Angreifer bösartige ActiveX-Steuerelemente erstellen kann, die beabsichtigte Verzeichnisbeschränkungen während des Dokument-Renderings umgehen.
Mehr erfahren: CWE-22 — Improper Limitation of a Pathname to a Restricted Directory
Auswirkungsanalyse
CVE-2021-40444 hat einen CVSS-3.1-Score von 8,8 (HOCH), was das erhebliche Bedrohungsniveau widerspiegelt. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität und ohne Authentifizierung ausnutzbar, erfordert jedoch eine Benutzerinteraktion zum Öffnen eines bösartigen Dokuments. Vertraulichkeit (Niedrig): Während der Ausnutzung ist eine begrenzte Datenexposition möglich. Integrität (Hoch): Eine erfolgreiche Ausnutzung ermöglicht einem Angreifer umfangreiche unautorisierte Änderungen am System, einschließlich der Installation von Malware oder der Modifikation von Systemdateien. Verfügbarkeit (Niedrig): Eine begrenzte Beeinträchtigung der Systemverfügbarkeit kann auftreten. Der Scope ist geändert, was bedeutet, dass die Ausnutzung der MSHTML-Komponente Ressourcen über ihre eigene Grenze hinaus beeinträchtigen kann. Diese Schwachstelle wurde in Ransomware-Kampagnen bestätigt, was das operationelle Risiko für Organisationen mit ungepatchten Windows-Systemen erheblich erhöht.
Exploit-Reifegrad
CVE-2021-40444 ist eine der am aktivsten ausgenutzten Schwachstellen der letzten Jahre. Die CISA hat die aktive Ausnutzung in freier Wildbahn durch die Aufnahme in den KEV-Katalog bestätigt, und die Schwachstelle wurde nachweislich für Ransomware-Angriffe verwendet. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, und zusätzliche Proof-of-Concept-Exploits wurden veröffentlicht. Der EPSS-Score von 94,33 % (99,95. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an und platziert diese Schwachstelle unter den am wahrscheinlichsten ausgenutzten aller bekannten CVEs. Bundesbehörden mussten die Behebung bis zum 17.11.2021 gemäß der CISA-Richtlinie abschließen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-KEV-Vorgabe: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat im September 2021 Sicherheitsupdates zur Behebung dieser Schwachstelle veröffentlicht.
- Alle betroffenen Windows-Systeme auf gepatchte Versionen aktualisieren: Windows 10 1507 (>= 10.0.10240.19060), Windows 10 1607 (>= 10.0.14393.4651), Windows 10 1809 (>= 10.0.17763.2183), Windows 10 1909 (>= 10.0.18363.1801), Windows 10 2004/20H2/21H1 (>= 10.0.19041.1237), Windows Server 2016 (>= 10.0.14393.4651), Windows Server 2019 (>= 10.0.17763.2183), Windows Server 2022 (>= 10.0.20348.230) sowie alle Versionen von Windows 7, 8.1, RT 8.1 und Server 2008/2012.
- Als Zwischenlösung ActiveX-Steuerelemente in Microsoft Office durch Setzen des entsprechenden Registry-Schlüssels deaktivieren und Office-Anwendungen so konfigurieren, dass Dokumente aus dem Internet in der geschützten Ansicht geöffnet werden.
- Systeme auf Kompromittierungsindikatoren überwachen, einschließlich verdächtiger Office-Dokumentausführung, unerwarteter von Office-Anwendungen gestarteter Kindprozesse und Warnungen für "Suspicious Cpl File Execution" in Microsoft Defender für Endpunkt.
- E-Mail-Filterung und Web-Content-Filterung implementieren, um die Zustellung bösartiger Office-Dokumente zu blockieren, und Benutzer über die Risiken des Öffnens nicht vertrauenswürdiger Dokumente aufklären.
Technische Details
CVE-2021-40444 nutzt die MSHTML-Browser-Rendering-Engine (Trident) aus, die in Microsoft-Office-Anwendungen eingebettet ist. Der Angriff nutzt eine Path-Traversal-Schwäche (CWE-22) über ein speziell präpariertes bösartiges ActiveX-Steuerelement, das in einem Office-Dokument gehostet wird. Wenn ein Benutzer das Dokument öffnet, verarbeitet die MSHTML-Engine den eingebetteten Inhalt, und die Path-Traversal-Schwachstelle ermöglicht es dem Angreifer, Verzeichnisbeschränkungen zu umgehen und Remote-Code-Execution zu erreichen. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:L) zeigt, dass die Ausnutzung netzwerkbasiert mit geringer Komplexität ist, keine Privilegien erfordert, aber von einer Benutzerinteraktion zum Öffnen des bösartigen Dokuments abhängt. Der geänderte Scope zeigt an, dass die Schwachstelle in MSHTML genutzt werden kann, um das breitere Windows-Betriebssystem über die Rendering-Engine hinaus zu kompromittieren.
Häufig gestellte Fragen
Wird CVE-2021-40444 aktiv ausgenutzt?
Ja. CVE-2021-40444 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen aufgeführt, was die aktive Ausnutzung in freier Wildbahn bestätigt. Die Schwachstelle wurde auch in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,33 % (99,95. Perzentil) zeigt eine nahezu sichere Ausnutzungsaktivität an.
Welche Produkte sind von CVE-2021-40444 betroffen?
CVE-2021-40444 betrifft Microsoft-Windows-Systeme, die die MSHTML-Rendering-Engine über Microsoft Office verwenden. Betroffene Produkte umfassen Windows 10 (mehrere Versionen von 1507 bis 21H1), Windows 7, Windows 8.1, Windows RT 8.1, Windows Server 2008 bis 2022 sowie Windows Server Semi-Annual Channel-Releases.
Wie behebe ich CVE-2021-40444?
Wenden Sie die von Microsoft im September 2021 veröffentlichten Sicherheitsupdates für alle betroffenen Windows-Systeme an. Als Zwischenmaßnahmen deaktivieren Sie ActiveX-Steuerelemente in Office-Anwendungen und stellen Sie sicher, dass Dokumente aus dem Internet in der geschützten Ansicht geöffnet werden. Überwachen Sie auf Kompromittierungsindikatoren mit Microsoft Defender für Endpunkt.
Wie schwerwiegend ist CVE-2021-40444?
CVE-2021-40444 hat einen CVSS-3.1-Score von 8,8 (HOCH). In Kombination mit der bestätigten Ransomware-Nutzung und einem EPSS-Score im 99,95. Perzentil ist dies eine extrem hochriskante Schwachstelle, die sofortige Aufmerksamkeit und Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.