CVE-2021-40450
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2021-40450 ist eine Privilegieneskalations-Schwachstelle in Microsoft Win32k, dem Windows-Kernelmodustreiber, der für die Verarbeitung grafischer Benutzeroberflächenoperationen und Fensterverwaltung zuständig ist. Diese unspezifizierte Schwachstelle ermöglicht es einem lokalen Angreifer mit Standard-Benutzerzugang, seine Berechtigungen auf dem betroffenen System zu erhöhen und potenziell SYSTEM-Kontrolle zu erlangen. Die CISA hat CVE-2021-40450 in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen und damit die aktive Ausnutzung in gezielten Angriffen bestätigt. Das EPSS-Perzentil von etwa 92 % weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1809 | < 10.0.17763.2237 |
| microsoft | windows 10 1909 | < 10.0.18363.1854 |
| microsoft | windows 10 2004 | < 10.0.19041.1288 |
| microsoft | windows 10 20h2 | < 10.0.19042.1288 |
| microsoft | windows 10 21h1 | < 10.0.19043.1288 |
| microsoft | windows 11 21h2 | < 10.0.22000.258 |
| microsoft | windows server 2004 | < 10.0.19041.1288 |
| microsoft | windows server 2019 | < 10.0.17763.2237 |
| microsoft | windows server 2022 | < 10.0.20348.288 |
| microsoft | windows server 20h2 | < 10.0.19042.1288 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-40450(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-40450(US Government Resource)
Schwachstellentyp
Privilegieneskalation in Win32k
Die Schwachstelle in Microsoft Win32k betrifft einen unspezifizierten Fehler im Kernelmodustreiber, der für Fensterverwaltung und GDI-Operationen zuständig ist. Win32k operiert auf der Kernel-Berechtigungsebene und verarbeitet komplexe Benutzermodus-Anfragen, wobei Fehler in der Objekt-Lebenszyklus-Verwaltung, Callback-Behandlung oder Systemaufrufverarbeitung von lokalen Angreifern ausgenutzt werden können, um beliebigen Code mit SYSTEM-Berechtigungen auszuführen.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2021-40450 erfordert lokalen Zugriff auf das Windows-Zielsystem, aber keine besonderen Berechtigungen über ein Standardbenutzerkonto hinaus. Nach erfolgreicher Ausnutzung erhält der Angreifer SYSTEM-Berechtigungen, die uneingeschränkten Zugang zum gesamten Betriebssystem bieten, einschließlich aller Dateien, Registry-Schlüssel, Prozesse und Dienste. Dieses Zugriffsniveau ermöglicht es dem Angreifer, Sicherheitssoftware zu deaktivieren, persistente Hintertüren zu installieren, sensible Daten zu exfiltrieren und auf andere Systeme im Netzwerk auszuweiten. Das EPSS-Perzentil von etwa 92 % bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit, und die KEV-Katalog-Aufnahme der CISA validiert, dass Bedrohungsakteure diese Win32k-Schwachstelle aktiv in realen Operationen einsetzen, typischerweise als Teil von Post-Compromise-Eskalationsketten.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2021-40450 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen hat. Das EPSS-Perzentil von etwa 92 % deutet auf sehr hohe Ausnutzungsaktivität hin, was mit der langen Geschichte zuverlässig ausnutzbarer Win32k-Schwachstellen für Privilegieneskalation übereinstimmt. Win32k ist aufgrund seiner großen Angriffsfläche und der Verfügbarkeit gut verstandener Ausnutzungstechniken eine der am häufigsten angegriffenen Kernel-Komponenten.
Behebung
-
Microsoft-Sicherheitsupdates sofort anwenden, wie von der CISA gefordert: „Apply updates per vendor instructions.“ Installieren Sie den relevanten Windows-Sicherheitspatch, der die Win32k-Privilegieneskalation behebt, auf allen betroffenen Windows-Versionen über Windows Update oder WSUS.
-
Windows-Umgebungen auf ungepatchte Systeme auditieren mit Schwachstellen-Scanning-Tools und überprüfen Sie die Patch-Compliance auf allen verwalteten Endpunkten. Konzentrieren Sie sich auf Systeme, die von Standard-Patch-Zyklen ausgenommen wurden.
-
Zugriffskontrollen nach dem Prinzip der minimalen Berechtigung durchsetzen, um die Auswirkungen von Privilegieneskalationsangriffen zu begrenzen. Entfernen Sie unnötige lokale Administratorzugänge, implementieren Sie Anwendungs-Whitelisting und verwenden Sie Gruppenrichtlinien zur Einschränkung des Zugriffs auf sensible Systemressourcen.
-
Erweiterten Endpunktschutz einsetzen, einschließlich EDR-Lösungen, die Ausnutzungsmuster auf Kernel-Ebene überwachen, insbesondere Win32k-Callback-Missbrauch, GDI-Objektmanipulation und unerwartete Übergänge vom Standardbenutzerkontext zu SYSTEM-Prozessen.
-
Netzwerksegmentierung und Kontrollen gegen laterale Bewegung implementieren, um die Auswirkungen erfolgreicher Privilegieneskalation einzudämmen. Setzen Sie Mikrosegmentierung ein, erzwingen Sie Multi-Faktor-Authentifizierung für alle privilegierten Zugriffe und beschränken Sie die Kommunikation zwischen Systemen auf bekannte und zulässige Verkehrsmuster.
Technische Details
CVE-2021-40450 ist eine Privilegieneskalations-Schwachstelle in Microsofts Win32k-Kernelmodustreiber, der Fenstererstellung und -zerstörung, Nachrichtenweiterleitung, Eingabegeräteverarbeitung und GDI-Grafikoperationen für das Windows-Betriebssystem verwaltet. Die unspezifizierte Natur der Schwachstelle deutet auf einen Fehler in der internen Verarbeitungslogik von Win32k hin, der es einem lokal authentifizierten Angreifer mit Standard-Benutzerberechtigungen ermöglicht, beliebigen Code auf Kernel-Berechtigungsebene auszuführen. Win32k-Schwachstellen dieser Art umfassen typischerweise Use-after-free-Bedingungen, Type Confusion bei der Objektbehandlung oder Race Conditions während der Callback-Verarbeitung, wobei der Angreifer Kernel-Datenstrukturen manipulieren kann, um den Ausführungsfluss auf angreiferkontrollierten Code umzuleiten.
Häufig gestellte Fragen
Wird CVE-2021-40450 aktiv ausgenutzt?
Ja, CVE-2021-40450 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 92 % bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2021-40450 betroffen?
CVE-2021-40450 betrifft Microsoft-Windows-Systeme, die den Win32k-Kernelmodustreiber beinhalten. Mehrere Windows-Versionen sind betroffen. Alle Windows-Installationen ohne das entsprechende Sicherheitsupdate sind verwundbar.
Wie behebe ich CVE-2021-40450?
Wenden Sie das Microsoft-Sicherheitsupdate, das die Win32k-Schwachstelle behebt, auf allen betroffenen Windows-Systemen über Windows Update oder WSUS an. Setzen Sie das Prinzip der minimalen Berechtigung durch und nutzen Sie EDR-Lösungen zur Erkennung von Kernel-Ausnutzungsmustern.
Wie schwerwiegend ist CVE-2021-40450?
CVE-2021-40450 ist eine schwerwiegende Privilegieneskalations-Schwachstelle mit einem EPSS-Perzentil von etwa 92 %. Obwohl lokaler Zugriff erforderlich ist, gewährt die Win32k-Lücke SYSTEM-Berechtigungen und wird aktiv in Post-Compromise-Angriffsketten eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.