CVE-2021-41357
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2021-41357 ist eine Privilegieneskalations-Schwachstelle in Microsoft Win32k, einem zentralen Windows-Kernelmodustreiber, der grafische Benutzeroberflächenoperationen verarbeitet. Diese unspezifizierte Schwachstelle in Win32k ermöglicht es einem lokalen Angreifer, seine Berechtigungen zu erhöhen und potenziell SYSTEM-Zugriff sowie vollständige Kontrolle über das betroffene Windows-System zu erlangen. Die CISA hat CVE-2021-41357 in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen und damit bestätigt, dass diese Win32k-Privilegieneskalation aktiv ausgenutzt wird. Das EPSS-Perzentil von etwa 92 % weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 2004 | < 10.0.19041.1288 |
| microsoft | windows 10 20h2 | < 10.0.19042.1288 |
| microsoft | windows 10 21h1 | < 10.0.19043.1288 |
| microsoft | windows 11 21h2 | < 10.0.22000.258 |
| microsoft | windows server 2004 | < 10.0.19041.1288 |
| microsoft | windows server 2022 | < 10.0.20348.288 |
| microsoft | windows server 20h2 | < 10.0.19042.1288 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-41357(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-41357(US Government Resource)
Schwachstellentyp
Privilegieneskalation in Win32k
Die Schwachstelle in Microsoft Win32k betrifft einen unspezifizierten Fehler im Kernelmodustreiber, der Fensterverwaltung und grafische Operationen verarbeitet. Win32k verarbeitet Benutzermodus-Anfragen auf Kernel-Berechtigungsebene, und Fehler in der Objektbehandlung, Eingabevalidierung oder Speicherverwaltung innerhalb von Win32k können es einem lokalen Angreifer ermöglichen, beliebigen Code im Kernelmodus auszuführen und SYSTEM-Berechtigungen zu erlangen.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2021-41357 erfordert lokalen Zugriff auf das Zielsystem, was bedeutet, dass ein Angreifer zunächst eine Präsenz auf dem Windows-Rechner etablieren muss. Sobald lokaler Zugriff besteht, werden keine besonderen Berechtigungen über ein Standardbenutzerkonto hinaus benötigt, um die Win32k-Privilegieneskalation auszulösen. Eine erfolgreiche Ausnutzung gewährt dem Angreifer SYSTEM-Berechtigungen, die höchste Berechtigungsstufe unter Windows, die vollständige Kontrolle über das Betriebssystem ermöglicht, einschließlich des Zugriffs auf alle Daten, der Modifikation von Sicherheitseinstellungen, der Installation persistenter Hintertüren und der Erstellung neuer Administratorkonten. Das EPSS-Perzentil von etwa 92 % deutet auf sehr hohe Ausnutzungsaktivität hin, und die KEV-Katalog-Aufnahme der CISA bestätigt, dass Bedrohungsakteure diese Win32k-Schwachstelle aktiv in realen Angriffskampagnen einsetzen.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2021-41357 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen hat. Das EPSS-Perzentil von etwa 92 % deutet auf sehr hohe Ausnutzungsaktivität hin und platziert diese Schwachstelle unter den am aktivsten ausgenutzten Windows-Kernel-Lücken. Win32k-Privilegieneskalations-Schwachstellen werden von Bedrohungsakteuren aufgrund ihrer Zuverlässigkeit und des kritischen Zugangslevels, das sie bieten, durchgehend bevorzugt, was CVE-2021-41357 zu einem wertvollen Werkzeug in Post-Compromise-Angriffsketten macht.
Behebung
-
Microsoft-Sicherheitsupdates sofort anwenden, wie von der CISA gefordert: „Apply updates per vendor instructions.“ Installieren Sie den Windows-Sicherheitspatch, der die Win32k-Privilegieneskalation behebt, auf allen betroffenen Windows-Systemen über Windows Update, WSUS oder den Microsoft Update Catalog.
-
Patching für extern erreichbare Systeme priorisieren, einschließlich Server, Remote-Desktop-Hosts und Systeme, die über VPN oder andere Fernzugriffslösungen erreichbar sind, da diese die wahrscheinlichsten Ziele für mehrstufige Angriffe mit Privilegieneskalation sind.
-
Prinzip der minimalen Berechtigung implementieren, um die Auswirkungen von Privilegieneskalation zu minimieren. Entfernen Sie unnötige lokale Administratorzugänge, beschränken Sie UAC-Bypass-Techniken über Gruppenrichtlinien und setzen Sie Anwendungskontrolle zur Verhinderung nicht autorisierter Codeausführung ein.
-
Win32k-Ausnutzungsindikatoren überwachen, indem erweiterte Kernel-Ereignisüberwachung aktiviert, EDR-Lösungen eingesetzt und Alarme für unerwartete SYSTEM-Prozesserstellung aus Standardbenutzersitzungen konfiguriert werden.
-
Windows-Systeme gegen Post-Exploitation härten, indem Credential Guard implementiert, NTLM-Authentifizierung eingeschränkt, Attack Surface Reduction (ASR)-Regeln aktiviert und Netzwerksegmentierung zur Begrenzung lateraler Bewegung eingesetzt wird.
Technische Details
CVE-2021-41357 ist eine Privilegieneskalations-Schwachstelle in Microsofts Win32k-Kernelmodustreiber, der für grafische Operationen einschließlich Fensterverwaltung, Eingabeverarbeitung und GDI-Operationen im Windows-Betriebssystem zuständig ist. Die unspezifizierte Schwachstelle ermöglicht es einem lokal authentifizierten Angreifer, einen Fehler in der Verarbeitung bestimmter Systemaufrufe oder Objektoperationen durch Win32k auszunutzen, um beliebigen Code im Kernelmodus auszuführen. Da Win32k auf Ring 0 (Kernel-Berechtigungsebene) operiert, gewährt eine erfolgreiche Ausnutzung sofort SYSTEM-Berechtigungen und umgeht alle Benutzermodus-Sicherheitskontrollen einschließlich UAC und prozessbasierter Zugriffskontrollen. Der lokale Angriffsvektor bedeutet, dass diese Schwachstelle primär als Privilegieneskalationskomponente in mehrstufigen Angriffen verwendet wird.
Häufig gestellte Fragen
Wird CVE-2021-41357 aktiv ausgenutzt?
Ja, CVE-2021-41357 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 92 % bestätigt eine sehr hohe Ausnutzungsaktivität.
Welche Produkte sind von CVE-2021-41357 betroffen?
CVE-2021-41357 betrifft Microsoft-Windows-Systeme, die den Win32k-Kernelmodustreiber verwenden. Mehrere Windows-Versionen sind betroffen. Alle Windows-Installationen ohne das entsprechende Sicherheitsupdate bleiben verwundbar.
Wie behebe ich CVE-2021-41357?
Wenden Sie das Microsoft-Sicherheitsupdate, das die Win32k-Schwachstelle behebt, auf allen betroffenen Windows-Systemen an. Implementieren Sie das Prinzip der minimalen Berechtigung und setzen Sie EDR-Lösungen zur Erkennung von Ausnutzungsversuchen ein.
Wie schwerwiegend ist CVE-2021-41357?
CVE-2021-41357 ist eine schwerwiegende Privilegieneskalations-Schwachstelle mit einem EPSS-Perzentil von etwa 92 %. Obwohl lokaler Zugriff erforderlich ist, gewährt die Schwachstelle SYSTEM-Berechtigungen und wird aktiv in mehrstufigen Angriffsketten von Bedrohungsakteuren eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.