CVE-2021-43226
Microsoft Windows Privilege Escalation Vulnerability
Beschreibung
CVE-2021-43226 ist eine Rechteeskalations-Schwachstelle im Windows Common Log File System (CLFS) Treiber. Die Schwachstelle ermoeglicht es einem authentifizierten lokalen Angreifer, erhoehte Privilegien auf dem betroffenen System zu erlangen. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score von 7,55 % (91,7. Perzentil) stellt diese Schwachstelle ein erhebliches Sicherheitsrisiko dar. Die CISA hat CVE-2021-43226 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 27. Oktober 2025. Betroffen sind zahlreiche Windows-10-Versionen von 1507 bis 21H2.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19145 |
| microsoft | windows 10 1607 | < 10.0.14393.4825 |
| microsoft | windows 10 1809 | < 10.0.17763.2366 |
| microsoft | windows 10 1909 | < 10.0.18363.1977 |
| microsoft | windows 10 2004 | < 10.0.19041.1415 |
| microsoft | windows 10 20h2 | < 10.0.19042.1415 |
| microsoft | windows 10 21h1 | < 10.0.19043.1415 |
| microsoft | windows 10 21h2 | < 10.0.19044.1415 |
| microsoft | windows 11 21h2 | < 10.0.22000.376 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2004 | < 10.0.19041.1415 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4825 |
| microsoft | windows server 2019 | < 10.0.17763.2366 |
| microsoft | windows server 2022 | < 10.0.20348.405 |
| microsoft | windows server 20h2 | < 10.0.19042.1415 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-43226(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-43226(US Government Resource)
Schwachstellentyp
Keine spezifische CWE-Zuordnung
Fuer CVE-2021-43226 wurde keine spezifische CWE-Schwachstellenklasse zugewiesen. Die Schwachstelle befindet sich im Windows Common Log File System (CLFS) Treiber, einer Kernelkomponente, die fuer das Transaktionsprotokollierungssystem von Windows verantwortlich ist. CLFS-Schwachstellen fallen typischerweise in die Kategorien Speicherkorruption oder unzureichende Eingabevalidierung bei der Verarbeitung von Log-Dateien. Der CLFS-Treiber war wiederholt Ziel von Angriffen, da Schwachstellen in Kerneltreibern direkt zu einer Rechteeskalation auf SYSTEM-Ebene fuehren koennen.
Auswirkungsanalyse
Rechteeskalation auf SYSTEM-Ebene: Die schwerwiegendste Auswirkung ist die Moeglichkeit einer lokalen Rechteeskalation. Ein Angreifer, der bereits ueber niedrige Berechtigungen auf dem System verfuegt, kann durch Ausnutzung der Schwachstelle im CLFS-Treiber SYSTEM-Privilegien erlangen - die hoechste Berechtigungsstufe unter Windows. Vertraulichkeit (C:H) - Mit SYSTEM-Rechten erhaelt der Angreifer uneingeschraenkten Zugriff auf alle Dateien, Registry-Eintraege und Prozesse des Systems, einschliesslich geschuetzter Systemdaten und Zugangsdaten anderer Benutzer. Integritaet (I:H) - Der Angreifer kann beliebige Systemdateien und -konfigurationen aendern, Sicherheitsmechanismen deaktivieren und persistente Backdoors installieren. Verfuegbarkeit (A:H) - Das System kann vollstaendig uebernommen oder destabilisiert werden.
Lokaler Angriffsvektor: Der CVSS-Vektor gibt AV:L (Local) und AC:L (Low Complexity) an, was bedeutet, dass der Angreifer bereits lokalen Zugang zum System benoetigt, die Ausnutzung selbst jedoch unkompliziert ist. Dies macht die Schwachstelle besonders gefaehrlich in Post-Exploitation-Szenarien, wo ein Angreifer nach dem initialen Zugang seine Privilegien eskalieren moechte.
EPSS und Bedrohungslage: Der EPSS-Score von 7,55 % (91,7. Perzentil) zeigt eine ueberdurchschnittlich hohe Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Unknown klassifiziert, jedoch sind CLFS-Schwachstellen ein bevorzugtes Werkzeug von Ransomware-Gruppen fuer die lokale Rechteeskalation.
Exploit-Reifegrad
CVE-2021-43226 weist eine hohe Exploit-Reife auf. Die Aufnahme in den CISA KEV-Katalog bestaetigt die aktive Ausnutzung in freier Wildbahn. Der EPSS-Score von 7,55 % (91,7. Perzentil) zeigt eine deutlich erhoehte Ausnutzungswahrscheinlichkeit im Vergleich zum Durchschnitt.
Patch und Advisory: Microsoft hat die Schwachstelle im Dezember 2021 Patch Tuesday adressiert. Das offizielle Advisory ist unter MSRC CVE-2021-43226 verfuegbar. Die CISA hat die Schwachstelle ebenfalls in ihren KEV-Katalog aufgenommen.
CLFS als wiederkehrendes Angriffsziel: Der Common Log File System Treiber war in den vergangenen Jahren wiederholt Ziel erfolgreicher Angriffe. Mehrere CLFS-Schwachstellen wurden von fortgeschrittenen Bedrohungsakteuren und Ransomware-Gruppen ausgenutzt, was die Attraktivitaet dieser Angriffsflaeche unterstreicht. Die strukturelle Komplexitaet des CLFS-Treibers und seine Ausfuehrung im Kernel-Modus machen ihn zu einem lohnenden Ziel.
Ransomware-Verbindung: Der Ransomware-Status ist als Unknown klassifiziert. Angesichts der Tatsache, dass andere CLFS-Schwachstellen (z.B. CVE-2022-24521, CVE-2023-23376) nachweislich von Ransomware-Gruppen wie Storm-0460 eingesetzt wurden, ist ein aehnlicher Einsatz von CVE-2021-43226 nicht auszuschliessen.
Behebung
-
Windows-Sicherheitsupdate vom Dezember 2021 installieren: Installieren Sie das kumulative Windows-Update vom Dezember 2021, das die Schwachstelle im CLFS-Treiber behebt. Das Update ist ueber Windows Update, WSUS oder den Microsoft Update Catalog verfuegbar. Konsultieren Sie das MSRC Advisory fuer die spezifischen KB-Nummern Ihrer Windows-Version.
-
Patch-Stand aller Windows-10-Systeme ueberpruefen: Stellen Sie sicher, dass alle betroffenen Windows-10-Versionen (1507, 1607, 1809, 1909, 2004, 20H2, 21H1, 21H2) auf die jeweils gepatchten Build-Nummern aktualisiert sind. Die mindestens erforderlichen Versionen sind: 10.0.10240.19145 (1507), 10.0.14393.4825 (1607), 10.0.17763.2366 (1809), 10.0.18363.1977 (1909), 10.0.19041.1415 (2004), 10.0.19042.1415 (20H2), 10.0.19043.1415 (21H1) und 10.0.19044.1415 (21H2).
-
Principle of Least Privilege durchsetzen: Minimieren Sie die Anzahl der Benutzerkonten mit lokalen Anmelderechten. Implementieren Sie Local Administrator Password Solution (LAPS) und entfernen Sie lokale Administratorrechte von Standardbenutzern. Dies reduziert die Angriffsflaeche fuer Post-Exploitation-Szenarien.
-
CLFS-Aktivitaeten ueberwachen: Implementieren Sie ein Monitoring fuer verdaechtige Aktivitaeten im Zusammenhang mit dem CLFS-Treiber. Konfigurieren Sie Windows-Ereignisprotokolle und Sysmon-Regeln, die auf ungewoehnliche CLFS-Operationen, insbesondere aus nicht-privilegierten Prozessen, hinweisen.
Technische Details
Die Schwachstelle befindet sich im Windows Common Log File System (CLFS) Treiber, einer Kernelkomponente (clfs.sys), die das Transaktionsprotokollierungssystem von Windows implementiert. CLFS wird von verschiedenen Windows-Diensten und -Anwendungen fuer zuverlaessige, transaktionsbasierte Protokollierung verwendet.
Angriffsmechanismus: Der CLFS-Treiber verarbeitet speziell formatierte Log-Dateien (.blf-Dateien) im Kernel-Modus. Durch das Erstellen oder Manipulieren einer CLFS-Log-Datei mit fehlerhaften Metadaten kann ein authentifizierter Benutzer eine Speicherkorruption im Kernelbereich ausloesen. Da der Treiber mit SYSTEM-Privilegien laeuft, fuehrt eine erfolgreiche Ausnutzung direkt zu einer Rechteeskalation auf die hoechste Berechtigungsstufe.
CVSS-Vektor im Detail: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfordert lokalen Zugang (AV:L) mit niedriger Komplexitaet (AC:L) und niedrigen Privilegien (PR:L). Es ist keine Benutzerinteraktion erforderlich (UI:N). Der Scope ist unveraendert (S:U), und alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H). Die niedrige Angriffskomplexitaet und die minimalen Privilegienanforderungen machen diese Schwachstelle besonders attraktiv fuer Angreifer in Post-Exploitation-Szenarien.
Betroffene Systeme: Windows 10 in den Versionen 1507, 1607, 1809, 1909, 2004, 20H2, 21H1 und 21H2. Die spezifischen Build-Nummern, die gepatcht werden muessen, reichen von 10.0.10240.19145 bis 10.0.19044.1415. Windows 11 und Windows Server-Versionen koennen ebenfalls betroffen sein - konsultieren Sie das MSRC Advisory fuer vollstaendige Details.
Typisches Exploit-Muster bei CLFS-Schwachstellen: Der Angreifer erstellt eine manipulierte .blf-Datei und loest deren Verarbeitung durch den CLFS-Treiber aus. Die fehlerhafte Verarbeitung fuehrt zu einer kontrollierbaren Speicherkorruption im Kernel-Pool, die der Angreifer nutzt, um einen beliebigen Schreibzugriff im Kernelspeicher zu erzielen und letztlich seinen Prozess-Token durch ein SYSTEM-Token zu ersetzen.
Häufig gestellte Fragen
Was ist der CLFS-Treiber und warum ist er ein haeufiges Angriffsziel?
Der Common Log File System (CLFS) Treiber ist eine Windows-Kernelkomponente, die ein transaktionsbasiertes Protokollierungssystem bereitstellt. Er ist ein bevorzugtes Angriffsziel, weil er im Kernel-Modus mit hoechsten Privilegien laeuft und komplexe Dateiformate verarbeitet. Schwachstellen in Kerneltreibern ermoeglichen eine direkte Rechteeskalation auf SYSTEM-Ebene, ohne dass zusaetzliche Exploit-Ketten erforderlich sind.
Ist mein System betroffen, wenn ich Windows 11 verwende?
Die offiziell gemeldeten betroffenen Versionen beziehen sich auf Windows 10 (Versionen 1507 bis 21H2). Ob auch Windows 11 betroffen ist, sollten Sie im offiziellen MSRC Advisory pruefen. Generell empfiehlt es sich, alle kumulativen Windows-Updates vom Dezember 2021 und spaeter zu installieren, um auch verwandte CLFS-Schwachstellen abzudecken.
Wie haengt CVE-2021-43226 mit anderen CLFS-Schwachstellen zusammen?
Der CLFS-Treiber war in den vergangenen Jahren wiederholt Ziel erfolgreicher Angriffe. Weitere bekannte CLFS-Schwachstellen sind CVE-2022-24521, CVE-2022-37969 und CVE-2023-23376, die alle fuer Rechteeskalation ausgenutzt wurden. Dies deutet auf strukturelle Komplexitaet im CLFS-Code hin, die immer wieder neue Schwachstellen hervorbringt.
Kann die Schwachstelle ohne lokalen Zugang ausgenutzt werden?
Nein, CVE-2021-43226 erfordert lokalen Zugang zum System und mindestens niedrige Berechtigungen. Die Schwachstelle wird typischerweise in Post-Exploitation-Szenarien eingesetzt, nachdem ein Angreifer bereits initialen Zugang zum System erlangt hat, beispielsweise ueber eine Phishing-Attacke oder eine andere Schwachstelle.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.