CVE-2022-21882
Microsoft Win32k Privilege Escalation Vulnerability
Beschreibung
CVE-2022-21882 ist eine Schwachstelle mit dem Schweregrad HIGH für Privilegieneskalation im Microsoft Win32k-Kernel-Subsystem, die es einem lokalen Angreifer ermöglicht, Privilegien durch eine Out-of-bounds-Write-Bedingung auf SYSTEM zu eskalieren. Die Schwachstelle betrifft mehrere Versionen von Windows 10 (1809 bis 21H2), Windows 11 21H2, Windows Server 2019, Windows Server 2022 und Windows Server 20H2. Unter CWE-787 (Out-of-bounds Write) klassifiziert, hat diese Schwachstelle einen CVSS-3.1-Score von 7,0 und einen EPSS-Score von 0,89428 (99,5. Perzentile), was auf extrem hohe Ausnutzungsaktivität hinweist. CVE-2022-21882 ist im CISA Known Exploited Vulnerabilities (KEV) Katalog mit einer Behebungsfrist bis zum 18. Februar 2022 gelistet, wobei keine spezifische Ransomware-Assoziation dokumentiert ist. Die Schwachstelle liegt in der ConsoleControl-Funktionalität des Win32k-Treibers.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1809 | < 10.0.17763.2452 |
| microsoft | windows 10 1909 | < 10.0.18363.2037 |
| microsoft | windows 10 20h2 | < 10.0.19042.1466 |
| microsoft | windows 10 21h1 | < 10.0.19043.1466 |
| microsoft | windows 10 21h2 | < 10.0.19044.1466 |
| microsoft | windows 11 21h2 | < 10.0.22000.434 |
| microsoft | windows server 2019 | < 10.0.17763.2452 |
| microsoft | windows server 2022 | < 10.0.20348.469 |
| microsoft | windows server 20h2 | < 10.0.19042.1466 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21882(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/166169/Win32k-ConsoleControl-Offset-Confusion-Privilege-Escalation.html(Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21882(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-21882(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Out-of-bounds Write (CWE-787) ist eine Schwachstellenklasse, die auftritt, wenn Software Daten über die beabsichtigten Grenzen eines Speicherpuffers hinaus schreibt. Dies kann durch Buffer Overflows, inkorrekte Indexberechnungen, Integer Overflows bei Größenberechnungen oder Type-Confusion-Schwachstellen entstehen. Out-of-bounds Writes in Kernelmodus-Treibern sind besonders gefährlich, da sie die Korrumpierung von Kernel-Speicherstrukturen ermöglichen und somit Privilegieneskalation vom User-Mode zum Kernel-Mode erlauben. Die CWE Top 25 ordnet Out-of-bounds Write konsistent als eine der gefährlichsten Software-Schwächen ein.
Bei CVE-2022-21882 enthält der Win32k-Kernelmodus-Treiber eine Offset-Confusion-Schwachstelle in seinem ConsoleControl-Verarbeitungscode. Win32k ist das zentrale Windows-Kernel-Subsystem, verantwortlich für die grafische Benutzeroberfläche, Fensterverwaltung und Benutzereingabeverarbeitung. Die Schwachstelle tritt auf, wenn Win32k bestimmte Console-Control-Operationen verarbeitet und Speicher-Offsets fehlerhaft berechnet, was zu einer Schreiboperation führt, die Speicher außerhalb des beabsichtigten Puffers adressiert. Durch Ausnutzung dieses Out-of-bounds Write im Kernel-Adressraum kann ein lokaler Angreifer Kernel-Datenstrukturen korrumpieren und Privilegien von einem Standard-Benutzerkonto auf SYSTEM eskalieren. Erfahren Sie mehr über CWE-787 bei turingsecure.com.
Auswirkungsanalyse
CVE-2022-21882 hat einen CVSS-3.1-Score von 7,0 (HIGH) mit unverändertem Scope. Die hohe Angriffskomplexität spiegelt die Notwendigkeit spezifischer Speicher-Layout-Bedingungen für eine erfolgreiche Ausnutzung wider.
Vertraulichkeit (High): Erfolgreiche Privilegieneskalation auf SYSTEM gewährt dem Angreifer vollständigen Lesezugriff auf alle Daten des betroffenen Systems. Dies umfasst alle Benutzerdateien, Passwort-Hashes, zwischengespeicherte Anmeldedaten, Verschlüsselungsschlüssel und Daten aller Anwendungen. SYSTEM-Level-Zugriff umgeht NTFS-Dateiberechtigungen, verschlüsselte Ordner-Schutzmaßnahmen und andere Benutzer-Level-Zugriffskontrollen.
Integrität (High): SYSTEM-Privilegien erlauben dem Angreifer die Modifikation beliebiger Dateien, Registrierungsschlüssel oder Systemkonfigurationen. Dies umfasst die Installation von Rootkits, Modifikation von Systembinärdateien, Erstellung persistenter Backdoor-Konten, Änderung von Sicherheitsrichtlinien und Manipulation von Windows-Ereignisprotokollen. Der Angreifer kann auch Sicherheitssoftware-Konfigurationen manipulieren, um Endpoint-Protection-Produkte zu deaktivieren oder zu umgehen.
Verfügbarkeit (High): Mit SYSTEM-Zugriff kann der Angreifer jeden Prozess beenden, Systemdienste deaktivieren, das Betriebssystem korrumpieren oder destruktive Payloads einsetzen. Die Privilegieneskalation kann als Vorläufer für Ransomware-Einsatz dienen, bei dem SYSTEM-Zugriff benötigt wird, um Dateien über alle Benutzerprofile hinweg zu verschlüsseln und Volume Shadow Copies zu löschen.
Scope (Unchanged): Der Scope ist unverändert, da die Privilegieneskalation innerhalb des Windows-Betriebssystems erfolgt. Die Eskalation von einem Standardbenutzer zu SYSTEM entfernt jedoch effektiv alle Zugriffsbeschränkungen auf dem lokalen System. Mit einem EPSS-Score von 0,89428 in der 99,5. Perzentile gehört diese Schwachstelle zu den am aktivsten ausgenutzten Privilegieneskalations-Schwachstellen in der aktuellen Windows-Bedrohungslandschaft.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2022-21882 wird nachweislich aktiv in der Praxis ausgenutzt, CISA nahm die Schwachstelle am 4. Februar 2022 in den KEV-Katalog auf. Die Schwachstelle wurde mit dem Microsoft-Patch-Tuesday-Update im Januar 2022 behoben, und die Ausnutzung wurde kurz nach der Offenlegung erkannt. Das Win32k-Subsystem ist historisch eine der am häufigsten angegriffenen Angriffsflächen für Windows-Privilegieneskalation.
Ransomware-Bezug: Der CISA-KEV-Katalog weist keine spezifische Ransomware-Assoziation für CVE-2022-21882 aus. Win32k-Privilegieneskalations-Schwachstellen werden jedoch häufig als Post-Exploitation-Tools in Ransomware-Angriffsketten verwendet, um die erhöhten Privilegien zu erlangen, die für systemweite Dateiverschlüsselung und Deaktivierung von Sicherheitsprodukten erforderlich sind.
Öffentliche Exploits: Ein öffentlicher Exploit ist auf Packet Storm Security verfügbar, der die ConsoleControl-Offset-Confusion-Technik für Privilegieneskalation demonstriert. Die Verfügbarkeit eines ausgereiften öffentlichen Exploits senkt die Ausnutzungshürde erheblich.
EPSS-Kontext: Der EPSS-Score von 0,89428 in der 99,5. Perzentile zeigt extrem hohe Ausnutzungsaktivität. Dieser Score spiegelt die Kombination aus öffentlich verfügbarem Exploit, weiter Verbreitung betroffener Windows-Versionen und dem hohen Wert der Kernel-Privilegieneskalation in mehrstufigen Angriffsoperationen wider.
KEV-Behebungsfrist: CISA legte eine sehr kurze Behebungsfrist auf den 18. Februar 2022 fest, nur 14 Tage nach dem Katalog-Aufnahmedatum vom 4. Februar 2022, was die Dringlichkeit des Patchens dieser aktiv ausgenutzten Schwachstelle widerspiegelt.
Behebung
-
Kumulatives Microsoft-Sicherheitsupdate vom Januar 2022 sofort installieren. Installieren Sie den Patch gemäß Microsofts Advisory für CVE-2022-21882 für alle betroffenen Windows-Versionen einschließlich Windows 10 (1809-21H2), Windows 11 21H2, Windows Server 2019, Server 2022 und Server 20H2. Priorisieren Sie diese Patch-Bereitstellung, da die Ausnutzung in der Praxis bestätigt ist.
-
Patch-Bereitstellung über alle Windows-Endpunkte verifizieren. Verwenden Sie das Patch-Management-System Ihrer Organisation (WSUS, SCCM, Intune oder Drittanbieter-Tools), um zu bestätigen, dass das kumulative Update vom Januar 2022 auf allen verwalteten Endpunkten erfolgreich installiert wurde. Erstellen Sie Compliance-Berichte, um Systeme zu identifizieren, die das Update möglicherweise nicht angewendet haben.
-
Endpoint-Detection-Regeln für Win32k-Ausnutzungstechniken bereitstellen. Konfigurieren Sie EDR- und SIEM-Tools, um häufige Win32k-Ausnutzungsmuster zu erkennen, einschließlich abnormaler Systemaufrufe an den Win32k-Treiber, unerwarteter Privilegienübergänge von Standardbenutzer zu SYSTEM und Verhaltensindikatoren der ConsoleControl-Offset-Confusion-Technik.
-
Least-Privilege-Zugriff in der Organisation durchsetzen. Reduzieren Sie die Angriffsfläche, indem Sie sicherstellen, dass Benutzer für die tägliche Arbeit mit Standard-Konten (ohne Administratorrechte) arbeiten. Geschichtete Sicherheitskontrollen einschließlich Application Whitelisting und Netzwerksegmentierung begrenzen die Fähigkeit des Angreifers, den Exploit-Payload zu liefern und auszuführen.
-
Windows Credential Guard und Virtualisierungsbasierte Sicherheit (VBS) aktivieren. Auf unterstützter Hardware aktivieren Sie Credential Guard und VBS, um kritische Anmeldedaten und sicherheitsrelevanten Code vor Kernel-Level-Angriffen zu schützen. Diese Funktionen nutzen Hardware-Virtualisierung, um sensible Operationen vom Windows-Kernel zu isolieren.
-
Post-Exploitation-Aktivitäten auf kompromittierten Systemen überwachen. Bei Verdacht auf Ausnutzung untersuchen Sie auf Indikatoren einer SYSTEM-Level-Kompromittierung, einschließlich neuer lokaler Administratorkonten, Modifikationen an Sicherheitssoftware-Konfigurationen, unerwarteter geplanter Aufgaben und Hinweisen auf Credential-Dumping-Tools wie mimikatz.
Technische Details
CVE-2022-21882 ist eine Privilegieneskalations-Schwachstelle im Win32k-Kernelmodus-Treiber, verursacht durch eine Offset-Confusion-Bedingung im ConsoleControl-Verarbeitungscode. Win32k (win32kfull.sys und win32kbase.sys) ist das Kernel-Subsystem, das für Windows-GUI-Operationen verantwortlich ist, einschließlich Fensterverwaltung, Grafikrendering und Konsolenoperationen.
Die Schwachstelle tritt im Codepfad auf, der ConsoleControl-Operationen verarbeitet. Bei der Verarbeitung bestimmter Console-Control-Anfragen berechnet der Win32k-Treiber einen Speicher-Offset fehlerhaft, wodurch eine nachfolgende Schreiboperation einen Speicherort außerhalb der beabsichtigten Puffergrenzen adressiert. Dieser Out-of-bounds Write im Kernel-Speicher kann von einem Angreifer genutzt werden, um angrenzende Kernel-Datenstrukturen zu korrumpieren und beliebige Privilegieneskalation zu ermöglichen.
Der CVSS-3.1-Vektor (AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt einen lokalen Angriffsvektor, der niedrige Privilegien und keine Benutzerinteraktion erfordert. Die hohe Angriffskomplexität spiegelt wider, dass die erfolgreiche Ausnutzung vom Gewinnen einer Race Condition oder dem Erreichen eines spezifischen Kernel-Speicher-Layouts abhängt, was aber mit dem öffentlich verfügbaren Exploit zuverlässig erreichbar ist.
Die Exploit-Technik beinhaltet das Auslösen der ConsoleControl-Operation mit sorgfältig gestalteten Parametern, die die Offset-Fehlberechnung verursachen. Durch Kontrolle der durch den Out-of-bounds Write geschriebenen Daten kann der Angreifer Kernel-Objekte wie Prozess-Token modifizieren, um Privilegien auf SYSTEM zu eskalieren. Die Grundursache ist ein arithmetischer Fehler in der Offset-Berechnungslogik des ConsoleControl-Handlers. Microsoft behob dies im kumulativen Update vom Januar 2022 durch ordnungsgemäße Grenzenvalidierung.
Häufig gestellte Fragen
Was ist CVE-2022-21882?
CVE-2022-21882 ist eine Privilegieneskalations-Schwachstelle im Microsoft Win32k-Kernelmodus-Treiber, verursacht durch eine Offset-Confusion-Bedingung im ConsoleControl-Verarbeitungscode. Sie ermöglicht jedem lokalen Benutzer mit niedrigen Privilegien die Eskalation auf SYSTEM-Level-Zugriff auf betroffenen Windows-Systemen. Die Schwachstelle hat einen CVSS-3.1-Score von 7,0 (HIGH) und betrifft Windows 10, Windows 11, Windows Server 2019 und Windows Server 2022.
Welche Windows-Versionen sind von CVE-2022-21882 betroffen?
CVE-2022-21882 betrifft Windows 10 Versionen 1809 bis 21H2, Windows 11 21H2, Windows Server 2019, Windows Server 2022 und Windows Server 20H2. Spezifische Build-Nummern sind in Microsofts Advisory dokumentiert. Die Schwachstelle wurde mit dem kumulativen Sicherheitsupdate vom Januar 2022 behoben. Systeme, die eine dieser Windows-Versionen ohne das kumulative Update vom Januar 2022 oder später ausführen, bleiben verwundbar.
Wie schwerwiegend ist CVE-2022-21882?
CVE-2022-21882 ist mit HIGH bewertet, hat einen CVSS-3.1-Score von 7,0 und einen EPSS-Score von 0,89428 in der 99,5. Perzentile, was sie unter die am aktivsten ausgenutzten Schwachstellen platziert. Sie ist im CISA-KEV-Katalog mit einer 14-tägigen Behebungsfrist gelistet, und ein öffentlicher Exploit, der die ConsoleControl-Offset-Confusion-Technik demonstriert, ist auf Packet Storm Security verfügbar. Die Schwachstelle ermöglicht vollständige SYSTEM-Level-Kompromittierung betroffener Windows-Systeme.
Wie behebe ich CVE-2022-21882?
Installieren Sie das kumulative Microsoft-Sicherheitsupdate vom Januar 2022 für alle betroffenen Windows-Versionen. Verifizieren Sie die Patch-Bereitstellung über alle Endpunkte mit Ihrem Patch-Management-System. Setzen Sie zusätzlich EDR-Erkennungsregeln für Win32k-Ausnutzungstechniken ein, erzwingen Sie Least-Privilege-Zugriffsrichtlinien und aktivieren Sie Windows Credential Guard und Virtualisierungsbasierte Sicherheit auf unterstützter Hardware für Defense-in-Depth gegen Kernel-Privilegieneskalationsangriffe.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.