CVE-2022-22718
Microsoft Windows Print Spooler Privilege Escalation Vulnerability
Beschreibung
CVE-2022-22718 ist eine Privilegieneskalations-Schwachstelle im Microsoft Windows Print Spooler-Dienst, einer Systemkomponente, die für die Verwaltung von Druckaufträgen und Druckerverbindungen zuständig ist. Diese unspezifizierte Schwachstelle ermöglicht es einem lokalen Angreifer, seine Berechtigungen auf betroffenen Windows-Systemen zu erhöhen. Der Windows Print Spooler war ein häufiges Ziel für Privilegieneskalationsangriffe, und CVE-2022-22718 setzt diesen Trend mit bestätigter aktiver Ausnutzung fort. Die CISA hat CVE-2022-22718 in den KEV-Katalog mit einer Behebungsfrist bis zum 10. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 93 % weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19204 |
| microsoft | windows 10 1607 | < 10.0.14393.4946 |
| microsoft | windows 10 1809 | < 10.0.17763.2565 |
| microsoft | windows 10 1909 | <= 10.0.18363.2094 |
| microsoft | windows 10 20h2 | < 10.0.19042.1526 |
| microsoft | windows 10 21h1 | < 10.0.19043.1526 |
| microsoft | windows 10 21h2 | < 10.0.19044.1526 |
| microsoft | windows 11 21h2 | < 10.0.22000.493 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4946 |
| microsoft | windows server 2019 | < 10.0.17763.2565 |
| microsoft | windows server 2022 | < 10.0.20348.524 |
| microsoft | windows server 20h2 | < 10.0.19042.1526 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22718(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22718(US Government Resource)
Schwachstellentyp
Privilegieneskalation im Windows Print Spooler
Die Schwachstelle im Microsoft Windows Print Spooler-Dienst betrifft einen unspezifizierten Fehler, der es einem lokal authentifizierten Angreifer ermöglicht, seine Berechtigungen zu eskalieren. Der Print Spooler operiert mit SYSTEM-Berechtigungen zur Verwaltung von Druckoperationen, und Schwächen in der Verarbeitung druckbezogener Anfragen, beim Laden von Treibern oder bei Dateioperationen können ausgenutzt werden, um Code mit erhöhten Berechtigungen auszuführen.
Mehr erfahren: CWE-269 — Improper Privilege Management
Auswirkungsanalyse
CVE-2022-22718 erfordert lokalen Zugriff auf das Windows-Zielsystem, aber keine besonderen Berechtigungen über ein Standardbenutzerkonto hinaus. Nach erfolgreicher Ausnutzung kann der Angreifer von eingeschränktem Benutzerzugang über den Print-Spooler-Dienst auf SYSTEM-Berechtigungen eskalieren und vollständige Kontrolle über das Betriebssystem erlangen. Der Windows Print Spooler ist ein besonders wertvolles Angriffsziel, da er als SYSTEM-Dienst auf praktisch allen Windows-Installationen läuft und eine Geschichte ausnutzbarer Schwachstellen aufweist. Eine erfolgreiche Privilegieneskalation über den Print Spooler ermöglicht dem Angreifer Zugriff auf alle Systemdaten, die Installation persistenter Hintertüren, das Deaktivieren von Sicherheitssoftware und die laterale Bewegung zu anderen Netzwerksystemen. Das EPSS-Perzentil von etwa 93 % weist auf sehr hohe Ausnutzungsaktivität hin.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-22718 bestätigt, indem sie die Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 10. Mai 2022 aufgenommen hat. Das EPSS-Perzentil von etwa 93 % deutet auf sehr hohe Ausnutzungsaktivität hin. Der Windows Print Spooler war eine der am häufigsten angegriffenen Windows-Komponenten für Privilegieneskalation, wobei eine Reihe verwandter Schwachstellen einschließlich PrintNightmare (CVE-2021-34527) umfangreiche Angreiferaufmerksamkeit auf den Dienst gezogen hat. Die fortgesetzte Ausnutzung von Print-Spooler-Schwachstellen zeigt, dass ausgereifte Ausnutzungstechniken existieren und aktiv von Bedrohungsakteuren gepflegt werden.
Behebung
-
Microsoft-Sicherheitsupdates sofort anwenden, wie von der CISA gefordert: „Apply updates per vendor instructions.“ Installieren Sie den Windows-Sicherheitspatch, der die Print-Spooler-Privilegieneskalation behebt, auf allen betroffenen Systemen über Windows Update oder WSUS.
-
Print-Spooler-Dienst deaktivieren auf Systemen, auf denen kein Drucken benötigt wird, insbesondere Server, Domänencontroller und andere hochwertige Assets. Verwenden Sie Gruppenrichtlinien oder PowerShell (
Stop-Service Spooler -Force; Set-Service Spooler -StartupType Disabled), um den Dienst umgebungsweit zu deaktivieren. -
Point-and-Print-Treiberinstallation einschränken über Gruppenrichtlinien, um unprivilegierten Benutzern die Installation von Druckertreibern zu verwehren. Konfigurieren Sie die Richtlinie „Point-and-Print-Paket – Genehmigte Server“, um Treiberquellen zu begrenzen.
-
Print-Spooler-Ausnutzungsindikatoren überwachen, indem Audit-Protokollierung für Print-Spooler-Ereignisse aktiviert, unerwartetes DLL-Loading durch den spoolsv.exe-Prozess überwacht und EDR-Lösungen eingesetzt werden, die Privilegieneskalation über Print-Spooler-Angriffsmuster erkennen.
-
Netzwerkbasierte Einschränkungen für Druckverkehr implementieren, indem SMB (Port 445) und RPC-Verkehr zwischen Workstations und zwischen Workstations und Servern blockiert wird, wo Druckfreigabe nicht benötigt wird, um die Angriffsfläche durch Netzwerksegmentierung zu reduzieren.
Technische Details
CVE-2022-22718 ist eine Privilegieneskalations-Schwachstelle im Microsoft Windows Print Spooler-Dienst (spoolsv.exe), der als SYSTEM-Dienst für die Verwaltung lokaler und netzwerkbasierter Druckoperationen operiert. Die unspezifizierte Schwachstelle ermöglicht es einem lokal authentifizierten Angreifer, einen Fehler in der Verarbeitung druckbezogener Operationen durch den Print Spooler auszunutzen, um Code mit SYSTEM-Berechtigungen auszuführen. Print-Spooler-Schwachstellen dieser Art umfassen typischerweise fehlerhafte Validierung von Treiberinstallationsanfragen, Race Conditions bei Dateioperationen oder Fehler in der Berechtigungsbehandlung während der Druckauftragsverarbeitung. Der lokale Angriffsvektor bedeutet, dass diese Schwachstelle als Privilegieneskalationsstufe in mehrstufigen Angriffen verwendet wird, und ihre Ausnutzung war besonders häufig seit der umfangreichen Forschung zur Print-Spooler-Sicherheit, die durch die PrintNightmare-Schwachstellenserie ausgelöst wurde.
Häufig gestellte Fragen
Wird CVE-2022-22718 aktiv ausgenutzt?
Ja, CVE-2022-22718 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in den KEV-Katalog mit einer Behebungsfrist bis zum 10. Mai 2022 aufgenommen. Das EPSS-Perzentil von etwa 93 % bestätigt eine sehr hohe Ausnutzungsaktivität.
Welche Produkte sind von CVE-2022-22718 betroffen?
CVE-2022-22718 betrifft Microsoft-Windows-Systeme, die den Print-Spooler-Dienst ausführen. Da der Print Spooler standardmäßig auf praktisch allen Windows-Installationen aktiviert ist, hat die Schwachstelle eine sehr breite Auswirkung auf Windows-Client- und Server-Editionen.
Wie behebe ich CVE-2022-22718?
Wenden Sie das Microsoft-Sicherheitsupdate an, das die Print-Spooler-Schwachstelle behebt. Auf Systemen, auf denen kein Drucken benötigt wird, deaktivieren Sie den Print-Spooler-Dienst vollständig. Schränken Sie die Druckertreiberinstallation über Gruppenrichtlinien ein.
Wie schwerwiegend ist CVE-2022-22718?
CVE-2022-22718 ist eine schwerwiegende Privilegieneskalations-Schwachstelle mit einem EPSS-Perzentil von etwa 93 %. Die Print-Spooler-Lücke ermöglicht Angreifern die Eskalation von Standardbenutzerzugang auf SYSTEM-Berechtigungen auf praktisch jedem Windows-System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.