CVE-2021-40449
Microsoft Windows Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2021-40449 ist eine Schwachstelle zur Rechteausweitung im Windows Win32k-Kerneltreiber von Microsoft. Die Schwachstelle basiert auf einer Verwendung nach Freigabe (Use-After-Free) und ermöglicht es einem authentifizierten lokalen Angreifer, erhöhte Rechte auf dem System zu erlangen. Betroffen sind zahlreiche Versionen von Microsoft Windows, darunter Windows 7, 8.1, 10, 11 sowie Windows Server 2008 bis 2022. CISA hat CVE-2021-40449 in den Known Exploited Vulnerabilities-Katalog aufgenommen und die Schwachstelle wird in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 91,30 % (99,7. Perzentile) belegt eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19086 |
| microsoft | windows 10 1607 | < 10.0.14393.4704 |
| microsoft | windows 10 1809 | < 10.0.17763.2237 |
| microsoft | windows 10 1909 | < 10.0.18363.1854 |
| microsoft | windows 10 2004 | < 10.0.19041.1288 |
| microsoft | windows 10 20h2 | < 10.0.19041.1288 |
| microsoft | windows 10 21h1 | < 10.0.19041.1288 |
| microsoft | windows 11 | Alle Versionen |
| microsoft | windows 11 21h2 | < 10.0.22000.258 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2004 | < 10.0.19041.1288 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4704 |
| microsoft | windows server 2019 | < 10.0.17763.2237 |
| microsoft | windows server 2022 | < 10.0.20348.288 |
| microsoft | windows server 20h2 | < 10.0.19042.1288 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/164926/Win32k-NtGdiResetDC-Use-After-Free-Local-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-40449(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-40449(US Government Resource)
Schwachstellentyp
CWE-416: Verwendung nach Freigabe
Verwendung nach Freigabe (Use After Free, UAF) tritt auf, wenn Software einen Pointer weiterhin verwendet, nachdem der Speicher, auf den er verweist, freigegeben wurde. Im Windows Win32k-Kerneltreiber ermöglicht eine solche Use-After-Free-Schwachstelle in der NtGdiResetDC-Funktion einem Angreifer, den freigegebenen Speicher mit kontrollierten Daten zu belegen und dadurch erhöhte Rechte auf Kernel-Ebene zu erlangen.
Weitere Informationen: CWE-416 — Verwendung nach Freigabe
Auswirkungsanalyse
CVE-2021-40449 hat einen CVSS 3.1-Score von 7.8 (HIGH) und stellt eine erhebliche Bedrohung für Windows-Systeme dar. Die Schwachstelle erfordert lokalen Zugriff mit niedrigen Privilegien, hat aber eine geringe Angriffskomplexität und erfordert keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung ermöglicht die vollständige Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit des Systems, da der Angreifer Kernel-Level-Rechte erlangt. Die Schwachstelle wird in Ransomware-Kampagnen eingesetzt, was das Risiko für betroffene Organisationen erheblich erhöht. Der EPSS-Score von 91,30 % zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die extrem breite Palette betroffener Windows-Versionen — von Windows 7 bis Windows 11 und Server 2008 bis Server 2022 — maximiert die Angriffsfläche.
Exploit-Reifegrad
CVE-2021-40449 wird durch die Aufnahme in den CISA Known Exploited Vulnerabilities-Katalog als aktiv ausgenutzt bestätigt. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security. Der EPSS-Score von 91,30 % (99,7. Perzentile) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle wird in Ransomware-Kampagnen eingesetzt, was die Dringlichkeit der Behebung erheblich erhöht. Die Schwachstelle wird typischerweise als zweite Stufe in einer Angriffskette verwendet — Angreifer erlangen zunächst einen initialen Zugang über eine andere Schwachstelle und nutzen dann CVE-2021-40449 zur Rechteausweitung auf SYSTEM-Ebene.
Behebung
- Pflichtmaßnahme laut CISA KEV: Apply updates per vendor instructions.
- Installieren Sie die Microsoft-Sicherheitsupdates für alle betroffenen Windows-Versionen. Die spezifischen gepatchten Versionen sind: Windows 10 1507 (≥ 10.0.10240.19086), Windows 10 1607 (≥ 10.0.14393.4704), Windows 10 1809 (≥ 10.0.17763.2237), Windows 10 1909 (≥ 10.0.18363.1854), Windows 10 2004/20H2/21H1 (≥ 10.0.19041.1288), Windows 11 21H2 (≥ 10.0.22000.258), Windows Server 2016 (≥ 10.0.14393.4704), Windows Server 2019 (≥ 10.0.17763.2237), Windows Server 2022 (≥ 10.0.20348.288).
- Implementieren Sie das Least-Privilege-Prinzip konsequent — beschränken Sie Benutzerrechte auf das notwendige Minimum, um die Ausnutzbarkeit der Schwachstelle zu reduzieren.
- Überwachen Sie Systeme auf Anzeichen einer Kompromittierung, insbesondere verdächtige Prozesse mit erhöhten Rechten, ungewöhnliche Win32k-Treiberaktivitäten und Ransomware-typische Dateiverschlüsselungsmuster.
- Setzen Sie Endpoint Detection and Response (EDR)-Lösungen ein, die Use-After-Free-Exploits im Kernel erkennen können, und aktualisieren Sie Antivirus-Signaturen regelmäßig.
Technische Details
CVE-2021-40449 betrifft den Windows Win32k-Kerneltreiber und basiert auf CWE-416 (Verwendung nach Freigabe). Die Schwachstelle liegt in der NtGdiResetDC-Funktion, wo ein Speicherobjekt nach der Freigabe weiterhin referenziert wird. Ein Angreifer kann durch Heap-Manipulationstechniken den freigegebenen Speicher mit kontrollierten Daten belegen und beim erneuten Zugriff über den hängenden Pointer Code auf Kernel-Ebene ausführen. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H zeigt, dass ein lokaler Angreifer mit niedrigen Privilegien die Schwachstelle ohne besondere Komplexität ausnutzen kann, um vollständige Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit zu erlangen. Die breite Betroffenheit von Windows 7 bis Windows 11 und Server 2008 bis Server 2022 deutet auf eine tief im Win32k-Subsystem verwurzelte Schwachstelle hin.
Häufig gestellte Fragen
Wird CVE-2021-40449 aktiv ausgenutzt?
Ja. CVE-2021-40449 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet und wird aktiv ausgenutzt. Die Schwachstelle wird zudem in Ransomware-Kampagnen eingesetzt, was die Bedrohung erheblich erhöht. Der EPSS-Score von 91,30 % (99,7. Perzentile) bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2021-40449 betroffen?
CVE-2021-40449 betrifft eine breite Palette von Microsoft Windows-Versionen: Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Versionen 1507, 1607, 1809, 1909, 2004, 20H2, 21H1), Windows 11 (21H2) sowie Windows Server 2004, 2008 (inkl. R2), 2012 (inkl. R2), 2016, 2019, 2022 und 20H2.
Wie behebe ich CVE-2021-40449?
Installieren Sie die Microsoft-Sicherheitsupdates für alle betroffenen Windows-Versionen. Stellen Sie sicher, dass Windows Update aktiviert ist und die neuesten Patches eingespielt sind. Implementieren Sie das Least-Privilege-Prinzip, um die Angriffsfläche zu reduzieren.
Wie schwerwiegend ist CVE-2021-40449?
CVE-2021-40449 hat einen CVSS 3.1-Score von 7.8 (HIGH). Die Schwachstelle ermöglicht lokale Rechteausweitung auf Kernel-Ebene und wird aktiv in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 91,30 % liegt in der 99,7. Perzentile, was eine sehr hohe Ausnutzungswahrscheinlichkeit anzeigt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.