CVE-2022-21919
Microsoft Windows User Profile Service Privilege Escalation Vulnerability
Beschreibung
CVE-2022-21919 ist eine Privilegieneskalations-Schwachstelle im Microsoft Windows User Profile Service, die es einem lokalen Angreifer ermöglicht, seine Berechtigungen auf betroffenen Windows-Systemen zu erhöhen. Dieser unspezifizierte Fehler im Windows User Profile Service kann von einem authentifizierten Benutzer ausgenutzt werden, um Zugang auf höherer Ebene zu erlangen und potenziell SYSTEM-Berechtigungen und vollständige Kontrolle über das Betriebssystem zu erreichen. Die CISA hat CVE-2022-21919 in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen und damit die aktive Ausnutzung bestätigt. Das EPSS-Perzentil von etwa 49 % weist auf eine moderate Ausnutzungswahrscheinlichkeit hin, wobei die KEV-Aufnahme bestätigt, dass reale Angriffe stattfinden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19177 |
| microsoft | windows 10 1607 | < 10.0.14393.4886 |
| microsoft | windows 10 1809 | < 10.0.17763.2452 |
| microsoft | windows 10 1909 | < 10.0.18363.2037 |
| microsoft | windows 10 20h2 | < 10.0.19042.1466 |
| microsoft | windows 10 21h1 | < 10.0.19043.1466 |
| microsoft | windows 10 21h2 | < 10.0.19044.1466 |
| microsoft | windows 11 21h2 | < 10.0.22000.434 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4886 |
| microsoft | windows server 2019 | < 10.0.17763.2452 |
| microsoft | windows server 2022 | < 10.0.20348.469 |
| microsoft | windows server 20h2 | < 10.0.19042.1466 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21919(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-21919(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-21919(US Government Resource)
Schwachstellentyp
Privilegieneskalation im Windows User Profile Service
Die Schwachstelle im Microsoft Windows User Profile Service betrifft einen unspezifizierten Fehler, der es einem lokal authentifizierten Angreifer ermöglicht, seine Berechtigungen über die zugewiesene Zugriffsebene hinaus zu eskalieren. Der User Profile Service verarbeitet Benutzerprofiloperationen während Windows-Anmeldesitzungen, und Schwächen in seiner Verarbeitungslogik können missbraucht werden, um Code mit erhöhten Berechtigungen auszuführen.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2022-21919 erfordert lokalen Zugriff und mindestens eine niedrige Authentifizierungsebene auf dem Zielsystem, was bedeutet, dass ein Angreifer zunächst einen Zugang etablieren muss, bevor diese Schwachstelle ausgenutzt werden kann. Nach erfolgreicher Ausnutzung kann der Angreifer von einem eingeschränkten Benutzerkonto auf erhöhte Berechtigungen eskalieren und potenziell SYSTEM-Zugriff erlangen, der vollständige Kontrolle über das Windows-Betriebssystem bietet, einschließlich des Zugriffs auf sensible Daten, der Installation von Software, der Modifikation von Systemkonfigurationen und der Erstellung neuer privilegierter Konten. Das EPSS-Perzentil von etwa 49 % deutet auf eine moderate Ausnutzungswahrscheinlichkeit hin, während die Aufnahme in den KEV-Katalog der CISA bestätigt, dass Bedrohungsakteure diese User-Profile-Service-Privilegieneskalation in realen Angriffen erfolgreich eingesetzt haben.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-21919 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen hat. Das EPSS-Perzentil von etwa 49 % deutet auf moderate, aber reale Ausnutzungsaktivität hin, was darauf schließen lässt, dass gezielte Angriffe unter Ausnutzung dieser Windows-User-Profile-Service-Schwachstelle stattfinden, auch wenn eine Massenausnutzung nicht weitverbreitet sein mag. Die bestätigte KEV-Aufnahme bedeutet, dass alle Organisationen diese Schwachstelle als Priorität behandeln sollten, angesichts der nachgewiesenen realen Ausnutzung.
Behebung
-
Microsoft-Sicherheitsupdates sofort anwenden, wie von der CISA gefordert: „Apply updates per vendor instructions.“ Installieren Sie den Windows-Sicherheitspatch, der die User-Profile-Service-Privilegieneskalation behebt, auf allen betroffenen Windows-Versionen über Windows Update oder WSUS.
-
Patch-Bereitstellung auf allen Windows-Systemen überprüfen, wobei Systeme mit mehreren Benutzerkonten, gemeinsam genutzte Workstations und Server, die über Fernzugriffslösungen wie RDP oder VPN erreichbar sind, priorisiert werden sollten.
-
Zugriffskontrollen nach dem Prinzip der minimalen Berechtigung durchsetzen, indem unnötige lokale Administratorberechtigungen entfernt, Gruppenrichtlinien-Einschränkungen für User-Profile-Service-Operationen implementiert und Anwendungs-Whitelisting zur Verhinderung nicht autorisierter Codeausführung eingesetzt werden.
-
Erweiterte Sicherheitsüberwachung aktivieren, indem Windows-Ereignisprotokollierung für Privilegieneskalationsereignisse (Event-IDs 4672, 4673, 4674) konfiguriert, EDR-Lösungen eingesetzt und Alarme für unerwartete Berechtigungsänderungen eingerichtet werden.
-
Defense-in-Depth-Maßnahmen implementieren, einschließlich Netzwerksegmentierung zur Begrenzung lateraler Bewegung nach Privilegieneskalation, Multi-Faktor-Authentifizierung für alle privilegierten Zugriffe und regelmäßiger Sicherheitsbewertungen zur Identifizierung potenzieller Angriffsketten.
Technische Details
CVE-2022-21919 ist eine Privilegieneskalations-Schwachstelle im Microsoft Windows User Profile Service, einer Systemkomponente, die für die Verwaltung des Ladens, Entladens und der Wartung von Benutzerprofilen während Windows-Anmeldesitzungen zuständig ist. Die unspezifizierte Natur der Schwachstelle deutet auf einen Fehler in der Verarbeitung von Profiloperationen durch den User Profile Service hin, der von einem lokal authentifizierten Angreifer missbraucht werden kann, um Code mit erhöhten Berechtigungen auszuführen. Der Angriff erfordert lokalen Zugriff mit niedrigen Berechtigungen und keine Benutzerinteraktion über die eigene Sitzung des Angreifers hinaus. Diese Art von User-Profile-Service-Schwachstelle umfasst typischerweise Race Conditions, fehlerhafte Berechtigungsprüfungen oder Symbolic-Link-Following während Profiloperationen, die es einem Angreifer ermöglichen, privilegierte Dateioperationen des SYSTEM-Kontos zu übernehmen.
Häufig gestellte Fragen
Wird CVE-2022-21919 aktiv ausgenutzt?
Ja, CVE-2022-21919 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 16. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 49 % weist auf moderate Ausnutzungswahrscheinlichkeit mit bestätigten realen Angriffen hin.
Welche Produkte sind von CVE-2022-21919 betroffen?
CVE-2022-21919 betrifft Microsoft-Windows-Systeme, die die User-Profile-Service-Komponente verwenden. Mehrere Windows-Versionen sind betroffen. Alle Windows-Installationen ohne das entsprechende Sicherheitsupdate bleiben verwundbar.
Wie behebe ich CVE-2022-21919?
Wenden Sie das Microsoft-Sicherheitsupdate über Windows Update oder WSUS auf allen betroffenen Windows-Systemen an. Setzen Sie das Prinzip der minimalen Berechtigung durch und nutzen Sie EDR-Lösungen zur Erkennung von Ausnutzungsversuchen.
Wie schwerwiegend ist CVE-2022-21919?
CVE-2022-21919 ist eine bedeutsame Privilegieneskalations-Schwachstelle mit einem EPSS-Perzentil von etwa 49 % und bestätigter aktiver Ausnutzung. Obwohl lokaler Zugriff erforderlich ist, ermöglicht sie Angreifern die Eskalation auf SYSTEM-Berechtigungen und wird häufig in mehrstufigen Angriffsketten eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.